Karte B-06, Entscheidungen des Users: Verifier aus common, Uebergang mit Schalter.
Aenderung
Neues Paket workflow/internal/bearerauth: Middleware vor dem gesamten Mux von workflow-app. Mit Authorization: Bearer wird das Modul-Token ueber common/moduleauth geprueft (Signatur per JWKS, Ablauf, Zielmodul, Aussteller); X-User-Id und X-Tenant-Slug werden aus den Claims gesetzt und ueberschreiben Client-Werte. Ungueltiges Token: 401, Core-Ausfall ohne bekannten Schluesselsatz: 503. Die API-Handler bleiben unveraendert.
Ohne Bearer: X-User-Id/X-Tenant-Slug werden entfernt (Handler antworten 401), ausser NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH=1 (Uebergang, loggt eine Warnung).
workflow-app startet nur mit NEXARCH_WORKFLOW_APP_JWKS_URL oder dem Uebergangsschalter. Weitere Variablen: ..._JWT_AUDIENCE (Standard workflow), ..._JWT_ISSUER (Standard nexarch-core), ..._JWT_AUDIENCE_ENFORCE=false fuer das Ausrollfenster.
common v0.2.1 (moduleauth).
Auswirkungen (Pflicht-Review)
Betrieb: Bestehende Deployments starten ohne neue Variable nicht mehr. Sofort-Weg: NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH=1 setzen (altes Verhalten). Zielzustand: JWKS-URL des Core setzen, Core muss workflow in NEXARCH_ACCOUNT_MODULE_AUDIENCES fuehren, Clients holen das Token mit ?module=workflow.
Clients: Die Frontend-Proxy-Routen (web/workflow-tasks, workflow-cases, routing-rules, workflow-approvals) und das Portal-BFF senden noch X-User-Id; sie laufen mit dem Schalter weiter und muessen als Folge auf Bearer umgestellt werden. Danach Schalter entfernen.
taskapi ist nicht in workflow-app gemountet und von dieser Aenderung nicht erfasst.
Nicht aufgenommen: Muster fuer bearerauth im Pflichttest-Gate von workflow (Folgekarte).
Tests
131: build, vet, gofmt sauber; bearerauth (Header-Ueberschreiben, ungueltiges Token, Header-Strip mit/ohne Schalter), cmd/workflow-app und contracttest ok.
Karte B-06, Entscheidungen des Users: Verifier aus common, Uebergang mit Schalter.
## Aenderung
- Neues Paket `workflow/internal/bearerauth`: Middleware vor dem gesamten Mux von `workflow-app`. Mit `Authorization: Bearer` wird das Modul-Token ueber `common/moduleauth` geprueft (Signatur per JWKS, Ablauf, Zielmodul, Aussteller); `X-User-Id` und `X-Tenant-Slug` werden aus den Claims gesetzt und ueberschreiben Client-Werte. Ungueltiges Token: 401, Core-Ausfall ohne bekannten Schluesselsatz: 503. Die API-Handler bleiben unveraendert.
- Ohne Bearer: `X-User-Id`/`X-Tenant-Slug` werden entfernt (Handler antworten 401), ausser `NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH=1` (Uebergang, loggt eine Warnung).
- `workflow-app` startet nur mit `NEXARCH_WORKFLOW_APP_JWKS_URL` oder dem Uebergangsschalter. Weitere Variablen: `..._JWT_AUDIENCE` (Standard `workflow`), `..._JWT_ISSUER` (Standard `nexarch-core`), `..._JWT_AUDIENCE_ENFORCE=false` fuer das Ausrollfenster.
- `common` v0.2.1 (moduleauth).
## Auswirkungen (Pflicht-Review)
- **Betrieb:** Bestehende Deployments starten ohne neue Variable nicht mehr. Sofort-Weg: `NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH=1` setzen (altes Verhalten). Zielzustand: JWKS-URL des Core setzen, Core muss `workflow` in `NEXARCH_ACCOUNT_MODULE_AUDIENCES` fuehren, Clients holen das Token mit `?module=workflow`.
- **Clients:** Die Frontend-Proxy-Routen (web/workflow-tasks, workflow-cases, routing-rules, workflow-approvals) und das Portal-BFF senden noch `X-User-Id`; sie laufen mit dem Schalter weiter und muessen als Folge auf Bearer umgestellt werden. Danach Schalter entfernen.
- `taskapi` ist nicht in `workflow-app` gemountet und von dieser Aenderung nicht erfasst.
- Nicht aufgenommen: Muster fuer `bearerauth` im Pflichttest-Gate von workflow (Folgekarte).
## Tests
131: build, vet, gofmt sauber; `bearerauth` (Header-Ueberschreiben, ungueltiges Token, Header-Strip mit/ohne Schalter), `cmd/workflow-app` und `contracttest` ok.
🤖 Generated with [Claude Code](https://claude.com/claude-code)
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Karte B-06, Entscheidungen des Users: Verifier aus common, Uebergang mit Schalter.
Aenderung
workflow/internal/bearerauth: Middleware vor dem gesamten Mux vonworkflow-app. MitAuthorization: Bearerwird das Modul-Token uebercommon/moduleauthgeprueft (Signatur per JWKS, Ablauf, Zielmodul, Aussteller);X-User-IdundX-Tenant-Slugwerden aus den Claims gesetzt und ueberschreiben Client-Werte. Ungueltiges Token: 401, Core-Ausfall ohne bekannten Schluesselsatz: 503. Die API-Handler bleiben unveraendert.X-User-Id/X-Tenant-Slugwerden entfernt (Handler antworten 401), ausserNEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH=1(Uebergang, loggt eine Warnung).workflow-appstartet nur mitNEXARCH_WORKFLOW_APP_JWKS_URLoder dem Uebergangsschalter. Weitere Variablen:..._JWT_AUDIENCE(Standardworkflow),..._JWT_ISSUER(Standardnexarch-core),..._JWT_AUDIENCE_ENFORCE=falsefuer das Ausrollfenster.commonv0.2.1 (moduleauth).Auswirkungen (Pflicht-Review)
NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH=1setzen (altes Verhalten). Zielzustand: JWKS-URL des Core setzen, Core mussworkflowinNEXARCH_ACCOUNT_MODULE_AUDIENCESfuehren, Clients holen das Token mit?module=workflow.X-User-Id; sie laufen mit dem Schalter weiter und muessen als Folge auf Bearer umgestellt werden. Danach Schalter entfernen.taskapiist nicht inworkflow-appgemountet und von dieser Aenderung nicht erfasst.bearerauthim Pflichttest-Gate von workflow (Folgekarte).Tests
131: build, vet, gofmt sauber;
bearerauth(Header-Ueberschreiben, ungueltiges Token, Header-Strip mit/ohne Schalter),cmd/workflow-appundcontracttestok.🤖 Generated with Claude Code