Baut auf #417 (shl-Helfer createBearerClient). Erst #417 mergen, dann zeigt dieser PR nur noch seinen eigenen Commit (3f830382).
Aenderung
connect/internal/bearerauth: wie workflow/internal/bearerauth; ein verifiziertes Core-Token setzt X-User-Id/X-Tenant-Slug, Client-Header werden ueberschrieben. Ohne Token werden sie entfernt, ausser NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1 (Uebergang).
connect-app: NEXARCH_CONNECT_APP_JWKS_URL, _JWT_AUDIENCE (Default connect), _JWT_ISSUER, _JWT_AUDIENCE_ENFORCE. Ohne JWKS-URL und ohne Uebergangsschalter startet der Dienst nicht. Mit JWKS ist NEXARCH_CONNECT_APP_TENANT_SLUG Pflicht, weil die Datenbank genau einem Mandanten gehoert.
connect/go.mod: common v0.2.0 auf v0.2.1 (moduleauth).
Frontends connect-setup, connect-status, datev-export: lib/http.ts (createBearerClient("connect")), Aufrufe ueber apiFetch, keine Identitaets-Header mit Bearer.
dms2-import: BFF-Routen reichen mit Bearer nur das Token weiter; Seite nimmt Nutzer und Mandant aus der Sitzung; Tests bearer.route.test.ts.
Auswirkung
Breaking beim Deploy:connect-app startet nur noch mit NEXARCH_CONNECT_APP_JWKS_URL (plus _TENANT_SLUG) oder mit NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1. Bestandsinstallationen muessen eine der beiden Varianten setzen, sonst Startfehler.
Core braucht connect in NEXARCH_ACCOUNT_MODULE_AUDIENCES; die Frontends fordern ?module=connect an, sobald NEXT_PUBLIC_CORE_API_BASE gesetzt ist (sonst Altpfad mit Umgebungsvariablen).
Direkter Browser-Aufruf der Connect-API aus connect-setup/-status/datev-export braucht CORS fuer Authorization (auf 204 ueber nginx 8447/8448 geloest, auf 131 pruefen).
datevapi ist in connect-app nicht registriert (nur im a11y-Fixture); die Middleware gilt fuer alles auf dem Mux.
bearerauth ist eine Kopie des workflow-Pakets; Verschieben nach common/ waere ein Folge-PR (neuer common-Tag).
Beruehrt dieselben Dateien wie #418 (connect/cmd/connect-app/main.go): Konflikt moeglich, Rebase auf den zuerst gemergten.
Tests (131)
connect: bearerauth, statusapi, connectorsetupapi, dms2importapi, datevapi ok, go vet/gofmt sauber. Frontends: connect-setup 4, connect-status 5, datev-export 4, dms2-import 11; tsc sauber; next build --webpack von dms2-import ok.
**Baut auf #417** (shl-Helfer `createBearerClient`). Erst #417 mergen, dann zeigt dieser PR nur noch seinen eigenen Commit (3f830382).
## Aenderung
- `connect/internal/bearerauth`: wie `workflow/internal/bearerauth`; ein verifiziertes Core-Token setzt `X-User-Id`/`X-Tenant-Slug`, Client-Header werden ueberschrieben. Ohne Token werden sie entfernt, ausser `NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1` (Uebergang).
- `connect-app`: `NEXARCH_CONNECT_APP_JWKS_URL`, `_JWT_AUDIENCE` (Default `connect`), `_JWT_ISSUER`, `_JWT_AUDIENCE_ENFORCE`. Ohne JWKS-URL und ohne Uebergangsschalter startet der Dienst nicht. Mit JWKS ist `NEXARCH_CONNECT_APP_TENANT_SLUG` Pflicht, weil die Datenbank genau einem Mandanten gehoert.
- `connect/go.mod`: common v0.2.0 auf v0.2.1 (moduleauth).
- Frontends `connect-setup`, `connect-status`, `datev-export`: `lib/http.ts` (`createBearerClient("connect")`), Aufrufe ueber `apiFetch`, keine Identitaets-Header mit Bearer.
- `dms2-import`: BFF-Routen reichen mit Bearer nur das Token weiter; Seite nimmt Nutzer und Mandant aus der Sitzung; Tests `bearer.route.test.ts`.
## Auswirkung
- **Breaking beim Deploy:** `connect-app` startet nur noch mit `NEXARCH_CONNECT_APP_JWKS_URL` (plus `_TENANT_SLUG`) oder mit `NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1`. Bestandsinstallationen muessen eine der beiden Varianten setzen, sonst Startfehler.
- Core braucht `connect` in `NEXARCH_ACCOUNT_MODULE_AUDIENCES`; die Frontends fordern `?module=connect` an, sobald `NEXT_PUBLIC_CORE_API_BASE` gesetzt ist (sonst Altpfad mit Umgebungsvariablen).
- Direkter Browser-Aufruf der Connect-API aus `connect-setup/-status`/`datev-export` braucht CORS fuer `Authorization` (auf 204 ueber nginx 8447/8448 geloest, auf 131 pruefen).
- `datevapi` ist in `connect-app` nicht registriert (nur im a11y-Fixture); die Middleware gilt fuer alles auf dem Mux.
- `bearerauth` ist eine Kopie des workflow-Pakets; Verschieben nach `common/` waere ein Folge-PR (neuer common-Tag).
- Beruehrt dieselben Dateien wie #418 (`connect/cmd/connect-app/main.go`): Konflikt moeglich, Rebase auf den zuerst gemergten.
## Tests (131)
connect: `bearerauth`, `statusapi`, `connectorsetupapi`, `dms2importapi`, `datevapi` ok, `go vet`/`gofmt` sauber. Frontends: connect-setup 4, connect-status 5, datev-export 4, dms2-import 11; `tsc` sauber; `next build --webpack` von dms2-import ok.
🤖 Generated with [Claude Code](https://claude.com/claude-code)
patrick
added 2 commits 2026-10-28 22:48:20 +01:00
workflow-approvals, workflow-tasks, workflow-cases und routing-rules hatten
identische lib/http.ts und lib/forward.ts; mail-search eine fuenfte Variante.
Verhalten unveraendert.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
connect/internal/bearerauth (wie workflow): verifiziertes Core-Token setzt
X-User-Id/X-Tenant-Slug, ohne Token nur mit NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1.
Mit JWKS ist NEXARCH_CONNECT_APP_TENANT_SLUG Pflicht (Mandant der Datenbank).
common auf v0.2.1 (moduleauth). Frontends nutzen createBearerClient("connect").
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
Gleiche Aenderung wie workflow/internal/bearerauth, damit die Rechtepruefung
aus #418 die echte Rolle bekommt.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Baut auf #417 (shl-Helfer
createBearerClient). Erst #417 mergen, dann zeigt dieser PR nur noch seinen eigenen Commit (3f830382).Aenderung
connect/internal/bearerauth: wieworkflow/internal/bearerauth; ein verifiziertes Core-Token setztX-User-Id/X-Tenant-Slug, Client-Header werden ueberschrieben. Ohne Token werden sie entfernt, ausserNEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1(Uebergang).connect-app:NEXARCH_CONNECT_APP_JWKS_URL,_JWT_AUDIENCE(Defaultconnect),_JWT_ISSUER,_JWT_AUDIENCE_ENFORCE. Ohne JWKS-URL und ohne Uebergangsschalter startet der Dienst nicht. Mit JWKS istNEXARCH_CONNECT_APP_TENANT_SLUGPflicht, weil die Datenbank genau einem Mandanten gehoert.connect/go.mod: common v0.2.0 auf v0.2.1 (moduleauth).connect-setup,connect-status,datev-export:lib/http.ts(createBearerClient("connect")), Aufrufe ueberapiFetch, keine Identitaets-Header mit Bearer.dms2-import: BFF-Routen reichen mit Bearer nur das Token weiter; Seite nimmt Nutzer und Mandant aus der Sitzung; Testsbearer.route.test.ts.Auswirkung
connect-appstartet nur noch mitNEXARCH_CONNECT_APP_JWKS_URL(plus_TENANT_SLUG) oder mitNEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1. Bestandsinstallationen muessen eine der beiden Varianten setzen, sonst Startfehler.connectinNEXARCH_ACCOUNT_MODULE_AUDIENCES; die Frontends fordern?module=connectan, sobaldNEXT_PUBLIC_CORE_API_BASEgesetzt ist (sonst Altpfad mit Umgebungsvariablen).connect-setup/-status/datev-exportbraucht CORS fuerAuthorization(auf 204 ueber nginx 8447/8448 geloest, auf 131 pruefen).datevapiist inconnect-appnicht registriert (nur im a11y-Fixture); die Middleware gilt fuer alles auf dem Mux.bearerauthist eine Kopie des workflow-Pakets; Verschieben nachcommon/waere ein Folge-PR (neuer common-Tag).connect/cmd/connect-app/main.go): Konflikt moeglich, Rebase auf den zuerst gemergten.Tests (131)
connect:
bearerauth,statusapi,connectorsetupapi,dms2importapi,datevapiok,go vet/gofmtsauber. Frontends: connect-setup 4, connect-status 5, datev-export 4, dms2-import 11;tscsauber;next build --webpackvon dms2-import ok.🤖 Generated with Claude Code
connect/internal/bearerauth (wie workflow): verifiziertes Core-Token setzt X-User-Id/X-Tenant-Slug, ohne Token nur mit NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1. Mit JWKS ist NEXARCH_CONNECT_APP_TENANT_SLUG Pflicht (Mandant der Datenbank). common auf v0.2.1 (moduleauth). Frontends nutzen createBearerClient("connect"). Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>