dms-kanban: SEC-08/SEC-09 aus DMS-Vergleichsreview angelegt #364

Closed

patrick wants to merge 2 commits from feature/sec-08-09-rbac-cmis-audit into chore/dms-kanban-security-folgetickets

pull from: feature/sec-08-09-rbac-cmis-audit

Author	SHA1	Message	Date
patrickandClaude Sonnet 5	d4416bc362	dms-kanban: SEC-09 geprueft - kein CMIS-Bypass, Status Fertig Ausgangsmessung durchgefuehrt statt nur Code gelesen: bestehender Test dms/internal/cmis/cmis_test.go::TestPermissionParityWithREST auf Host 204 gegen echte migrierte Testdatenbank ausgefuehrt (TEST_TENANT_DSN), PASS. Bestaetigt per echtem Testlauf: fremder Nutzer mit gueltigem Token liest fremdes Dokument ueber CMIS -> 403; gefaelschter caller-Parameter neben echtem fremden Token -> weiterhin 403 (Token-Identitaet gewinnt). Ursache: cmisBackend.Set(routes) in cmd/app/main.go:109 verdrahtet CMIS auf die komplette Middleware-Kette, interner Re-Dispatch prueft CanAccessDocument/ CanAccessFolder erneut. Kein Code-Fix noetig, Ticket dokumentiert die negative Pruefung. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-19 03:04:37 +02:00
patrickandClaude Sonnet 5	ac7c4c2850	dms-kanban: SEC-08/SEC-09 aus DMS-Vergleichsreview angelegt Fable-5.1-Vergleich gegen paperless-ngx/Alfresco/Docspell/ecoDMS fand zwei strukturelle Luecken, die ueber die bereits angelegten SEC-01..07 hinausgehen: SEC-08 (ObjectAllowed-Objektrechte existieren im Code, werden nie aufgerufen, RBAC bleibt faktisch Owner-only wie paperless-ngx/Docspell) und SEC-09 (CMIS behandelt Autorisierung pauschal als erlaubt, Identitaet aus Query-Parameter statt verifizierter Identitaet - Realitaet des Bypasses noch ungeklaert, Ticket verlangt Ausgangsmessung vor dem Fix). Beide Tickets enthalten offene Fragen (groupIDs-Herkunft, CMIS-Re-Dispatch-Verhalten), die vor Umsetzung geklaert werden muessen. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-19 02:54:19 +02:00

Author

SHA1

Message

Date

patrickandClaude Sonnet 5

d4416bc362

dms-kanban: SEC-09 geprueft - kein CMIS-Bypass, Status Fertig

Ausgangsmessung durchgefuehrt statt nur Code gelesen: bestehender Test
dms/internal/cmis/cmis_test.go::TestPermissionParityWithREST auf Host 204
gegen echte migrierte Testdatenbank ausgefuehrt (TEST_TENANT_DSN), PASS.
Bestaetigt per echtem Testlauf: fremder Nutzer mit gueltigem Token liest
fremdes Dokument ueber CMIS -> 403; gefaelschter caller-Parameter neben
echtem fremden Token -> weiterhin 403 (Token-Identitaet gewinnt). Ursache:
cmisBackend.Set(routes) in cmd/app/main.go:109 verdrahtet CMIS auf die
komplette Middleware-Kette, interner Re-Dispatch prueft CanAccessDocument/
CanAccessFolder erneut. Kein Code-Fix noetig, Ticket dokumentiert die
negative Pruefung.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

2026-10-19 03:04:37 +02:00

patrickandClaude Sonnet 5

ac7c4c2850

dms-kanban: SEC-08/SEC-09 aus DMS-Vergleichsreview angelegt

Fable-5.1-Vergleich gegen paperless-ngx/Alfresco/Docspell/ecoDMS fand zwei
strukturelle Luecken, die ueber die bereits angelegten SEC-01..07 hinausgehen:
SEC-08 (ObjectAllowed-Objektrechte existieren im Code, werden nie aufgerufen,
RBAC bleibt faktisch Owner-only wie paperless-ngx/Docspell) und SEC-09 (CMIS
behandelt Autorisierung pauschal als erlaubt, Identitaet aus Query-Parameter
statt verifizierter Identitaet - Realitaet des Bypasses noch ungeklaert,
Ticket verlangt Ausgangsmessung vor dem Fix). Beide Tickets enthalten offene
Fragen (groupIDs-Herkunft, CMIS-Re-Dispatch-Verhalten), die vor Umsetzung
geklaert werden muessen.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

2026-10-19 02:54:19 +02:00