sysopsandClaude Sonnet 5
3d20d86a4f
internal/auth: Login/Logout ueber httpOnly/Secure/SameSite=Strict-Cookie mit HS256-JWT (30min TTL), bcrypt-Passwort-Hashing (Cost 12, explizit begruendet und benchmarkt statt DefaultCost uebernommen), RequireAuth-Middleware fuer geschuetzte Routen. LoginService ist strukturell auf einen Tenant gescopt (nutzt user.TenantUserStore, dessen Pool = eine Tenant-DB — derselbe Mechanismus wie in TEN-01/TEN-02), liefert bei falscher E-Mail und falschem Passwort denselben Fehler (User-Enumeration-Schutz) inkl. Dummy-bcrypt- Vergleich gegen Timing-Seitenkanal bei unbekannter E-Mail. user.TenantUserStore erweitert um SetPasswordHash/GetByEmailForAuth (password_hash bleibt ausserhalb des regulaeren User-Typs/JSON-Pfads). Migration 0002 fuegt password_hash-Spalte hinzu (Default '', da IAM-01 User ohne Passwort anlegt). Login-Handler ist wie IAM-01/TEN-02 aus denselben Gruenden (Tenant- Connection-Routing = TEN-06, noch nicht gebaut) nicht in cmd/core/main.go verdrahtet — Package ist eigenstaendig nutzbar/getestet. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Login-Query tenant-gescopt — TestLoginService_NoCrossTenantLogin: gleiche E-Mail in zwei Tenant-DBs mit unterschiedlichem Passwort, Login gegen Tenant A mit Tenant-B-Passwort schlaegt fehl. PASS. 2. Session-Fixation/Token-Manipulation — TestTokenVerify_RejectsManipulatedPayload und TestTokenVerify_RejectsWrongSecret: manipuliertes/falsch signiertes Token wird abgelehnt. PASS. 3. Abgelaufenes Token erzwingt Neuanmeldung — TestTokenVerify_RejectsExpiredToken und TestRequireAuth_BlocksWithoutValidCookie. PASS. 4. Login-Latenz mit Kostenfaktor 12 gemessen: 294ms (Ziel < 400ms) — TestBcryptCostAgainstLatencyTarget. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
29 lines
1.2 KiB
Go
29 lines
1.2 KiB
Go
// Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
|
|
// die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
|
|
// ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
|
|
// "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
|
|
package auth
|
|
|
|
import "golang.org/x/crypto/bcrypt"
|
|
|
|
// BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
|
|
// unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
|
|
// wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
|
|
// und den Pruefungs-Eintrag in der Commit-Nachricht.
|
|
const BcryptCost = 12
|
|
|
|
func HashPassword(plain string) (string, error) {
|
|
hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
|
|
if err != nil {
|
|
return "", err
|
|
}
|
|
return string(hash), nil
|
|
}
|
|
|
|
// VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
|
|
// konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
|
|
// die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
|
|
func VerifyPassword(hash, plain string) bool {
|
|
return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
|
|
}
|