nexarch/cmd/notifyprefs-api/main.go

// notifyprefs-api ist der Aufrufpunkt fuer CFG-06: startet den bereits
// fertigen CFG-04-Handler (internal/notifyprefs) als eigenstaendigen
// HTTP-Dienst, hinter derselben Session-Auth wie IAM-16 (account-api).
// QA-15 F-10: verifiziert Sitzungen seither per JWKS-Abruf bei account-api
// (Ed25519, nur oeffentlicher Schluessel) statt ueber ein geteiltes
// HS256-Geheimnis — dieser Dienst prueft nur, kann also selbst keine
// Sitzungen ausstellen. Ein weiterhin gesetztes NEXARCH_NOTIFYPREFS_JWT_SECRET
// bleibt der HS256-Uebergangspfad (Akzeptanzkriterium 3). REINES WIRING —
// keine Aenderung an internal/notifyprefs/.
package main

import (
	"context"
	"log"
	"net/http"
	"os"
	"time"

	"github.com/jackc/pgx/v5/pgxpool"

	"gitea.perlbach24.de/scripte/nexarch/common/httpharden"
	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
	"gitea.perlbach24.de/scripte/nexarch/internal/moduletrust"
	"gitea.perlbach24.de/scripte/nexarch/internal/notifyprefs"
)

func requireEnv(name string) string {
	v := os.Getenv(name)
	if v == "" {
		log.Fatalf("%s muss gesetzt sein", name)
	}
	return v
}

func main() {
	dsn := requireEnv("NEXARCH_NOTIFYPREFS_TENANT_DSN")
	sessionJWKSURL := requireEnv("NEXARCH_NOTIFYPREFS_SESSION_JWKS_URL")
	// Optionaler HS256-Uebergangspfad — MUSS identisch mit
	// NEXARCH_ACCOUNT_JWT_SECRET (IAM-16) sein, sonst verwirft dieser Dienst
	// gueltige HS256-Sessions von account-api. Ein leerer Wert deaktiviert
	// HS256 hier vollstaendig (nur noch Ed25519 per JWKS).
	jwtSecret := os.Getenv("NEXARCH_NOTIFYPREFS_JWT_SECRET")
	if jwtSecret != "" {
		if err := auth.ValidateHS256Secret(jwtSecret); err != nil {
			log.Fatalf("NEXARCH_NOTIFYPREFS_JWT_SECRET: %v", err)
		}
	}
	addr := os.Getenv("NEXARCH_NOTIFYPREFS_API_LISTEN_ADDR")
	if addr == "" {
		addr = "127.0.0.1:8101"
	}

	ctx := context.Background()
	pool, err := pgxpool.New(ctx, dsn)
	if err != nil {
		log.Fatalf("datenbankverbindung: %v", err)
	}
	defer pool.Close()

	verifier := moduletrust.NewVerifier(moduletrust.DefaultRefreshInterval,
		moduletrust.FetchJWKSFromURL(&http.Client{Timeout: 5 * time.Second}, sessionJWKSURL))
	tokenIssuer, err := auth.NewVerifyOnlyTokenIssuer(verifier, jwtSecret)
	if err != nil {
		log.Fatalf("sitzungs-token-pruefer: %v", err)
	}
	handler := notifyprefs.NewHandler(notifyprefs.NewStore(pool))

	mux := http.NewServeMux()
	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })

	mux.HandleFunc("GET /notifications/preferences", auth.RequireAuth(tokenIssuer, handler.ListMine))
	mux.HandleFunc("POST /notifications/preferences", auth.RequireAuth(tokenIssuer, handler.SetPreference))
	mux.HandleFunc("GET /notifications/preferences/tenant", auth.RequireAuth(tokenIssuer, handler.ListTenantOverview))

	log.Printf("notifyprefs-api: listening on %s", addr)
	if err := httpharden.ListenAndServe(addr, mux); err != nil {
		log.Fatalf("http server: %v", err)
	}
}