nexarch/mail/docs/ING-03-PRUEFPROTOKOLL.md

ING-03 — SMTP-Server & Mailer: Prüfprotokoll

Datum: 2026-09-01 Host: 192.168.1.131 (Build/Test/Lint), rsync + ssh Pakete: mail/internal/smtp (SMTP-Server, neu), mail/internal/mailer (Mailer-Komponente, neu)

Umsetzung

mail/internal/smtp — SMTP-Server (RFC 5321) für eingehende Mails, von Grund auf implementiert, architektonisch analog zu mail/internal/imap/pop3: TCP-Listener mit einer Goroutine pro Verbindung, Session-Zustandsmaschine (Greeting → Ready → MailFromSet → RcptToSet), Kommandos HELO/EHLO, MAIL FROM, RCPT TO, DATA, RSET, NOOP, QUIT. Envelope-Aufbau ist strikt schrittweise: MAIL FROM ohne HELO, RCPT TO ohne MAIL FROM und DATA ohne mindestens ein gültiges RCPT TO werden jeweils mit 503 zurückgewiesen. Absender-/Empfängeradressen werden vor Annahme validiert (503/553 bei ungültiger Syntax bzw. Steuerzeichen). Die Nachrichtengröße wird während des DATA-Empfangs laufend geprüft; eine Überschreitung führt zu 552 und verworfener Nachricht, ohne den Sink zu erreichen. Dot-(Byte-)Stuffing wird beim Empfang korrekt rückgängig gemacht (RFC 5321 §4.5.2).

mail/internal/mailer — Mailer-Komponente für ausgehende Nachrichten. headerWriter (header.go) ist die EINZIGE Stelle, an der Header geschrieben werden: jeder Feldwert wird vor dem Schreiben hart gegen CR/LF/Steuerzeichen geprüft, Message.Build() nutzt ausschließlich diese API — keine freie Stringkonkatenation von From/To/Subject (behebt den bekannten archivmail-Fehler #1, Header-Injection durch ungeprüfte Konkatenation). Sender.Send überträgt die gebaute Nachricht per echtem net/smtp-Client (Standardbibliothek, reale TCP-Verbindung) über HELO/MAIL FROM/RCPT TO/DATA. Keine Zugangsdaten im Code — die Zieladresse wird als Parameter/Umgebungsvariable vom Aufrufer bereitgestellt.

Pflichtprüfung 1: Steuerzeichen/CRLF in Betreff und Anzeigenamen — kein Header-Bruch möglich

TestHeaderWriter_RejectsControlCharsAndCRLFInSubjectAndDisplayName (mailer/mailer_test.go), vier Fälle: CRLF im Betreff (versuchte Bcc-Injection), CRLF im Anzeigenamen des Absenders, nackter LF ohne CR, Steuerzeichen NUL im Betreff — Message.Build() liefert in allen vier Fällen einen Fehler, KEINE gebaute Nachricht. Ergänzend TestHeaderWriter_AcceptsCleanValues: normale Werte (inkl. Umlaute) werden nicht fälschlich abgelehnt.

Ergebnis: BESTANDEN.

Pflichtprüfung 2: automatisierter Test sendet Testmail über Mailpit/MailHog, prüft Header-Integrität

Abweichung von der wörtlichen Ticketvorgabe, dokumentiert: Mailpit und MailHog sind auf diesem Rechner NICHT installiert — Projektregel verbietet das Nachinstallieren zusätzlicher Toolchains/Dienste (kein Docker verfügbar, keine Systempaketinstallation). Als echter Ersatz — kein Mock, kein fabriziertes Transkript, dieselbe Konvention wie die manuellen Client-Tests aus ING-01/ING-02 — läuft TestSender_SendRealMessageOverSMTP_HeaderIntegrity (mailer/mailer_test.go) gegen den in dieser Kachel gebauten, echten mail/internal/smtp-Server: realer TCP-Listener, echter net/smtp-Standardbibliotheks-Client, reale HELO/MAIL FROM/RCPT TO/DATA-Sequenz über das Netzwerk. Geprüft wird:

• Envelope (From/To) kommt beim Server unverändert an.
• From-, To-, Subject- und ein zusätzlicher Header (X-NEXARCH-Test) kommen byte-identisch als eigene Headerzeilen an.
• Genau eine Leerzeile trennt Header von Body (\r\n\r\n), Body-Text vollständig und unverändert.

Ergebnis: BESTANDEN — Header-Integrität über einen echten Ende-zu-Ende-SMTP-Dialog bestätigt.

Pflichtprüfung 3: Lasttest mit gleichzeitigen Verbindungen ohne Verbindungsleck

TestServer_ConcurrentConnectionsNoLeak (smtp/smtp_test.go): 50 parallele reale TCP-Verbindungen, jede vollständige EHLO/MAIL/RCPT/DATA/QUIT-Sequenz. Alle 50 Nachrichten kommen beim Sink an. runtime.NumGoroutine() vor und nach dem Lasttest verglichen (mit Toleranz für Laufzeit-Jitter und Aufräumzeit).

Ergebnis: BESTANDEN — Goroutinezahl kehrt auf den Ausgangswert zurück, kein Verbindungs-/Ressourcenleck.

Akzeptanzkriterien

1. SMTP-Annahme validiert Envelope und Nachrichtengröße vor der Annahme: TestSession_EnvelopeMustBeBuiltBeforeData (schrittweise Envelope-Prüfung, 503 bei übersprungenen Schritten) und TestData_MessageSizeCheckedBeforeAcceptance (Überschreitung der konfigurierten Höchstgröße führt zu 552, Sink bekommt die Nachricht NICHT, Session danach weiter funktionsfähig).
2. Mailer erzeugt Header ausschließlich über strukturierte Writer-API, keine freie Stringkonkatenation: header.go (headerWriter.WriteField) ist der einzige Ort, an dem Message.Build() Header schreibt; durch Pflichtprüfung 1 belegt.
3. Ungültige Empfängerdaten führen zu sauberer SMTP-Fehlermeldung statt Absturz: TestRcptTo_InvalidRecipientCleanError und TestMailFrom_InvalidSenderCleanError — 553 bei ungültiger Adresse, Verbindung bleibt danach nutzbar.

Build/Vet/Lint/Test — Gesamtmodul

go build ./...    → OK
go vet ./...      → OK
golangci-lint run ./... → 0 issues
go test ./... -p 1 (TEST_TENANT_DSN, TEST_MANTICORE_URL gesetzt) → alle Pakete ok, inkl. neuen internal/smtp und internal/mailer

Keine Regression in den bestehenden ~26 Paketen.

Ergebnis

ING-03 erfüllt alle Akzeptanzkriterien mit echten, ausgeführten Nachweisen. Pflichtprüfung 2 wurde mangels installierbarem Mailpit/MailHog gegen den eigenen, in dieser Kachel gebauten SMTP-Server durchgeführt (funktional gleichwertig: echter SMTP-Dialog, kein Mock) — siehe Abschnitt oben. Freigeschaltet: ING-06, ING-08, ING-09, ING-10, QA-04, QA-07.