4 Commits

Include renames

Author	SHA1	Message	Date
patrickandClaude Opus 4.8	c83fb31408	feat: agent-11 PR3 – Scheduler + Erinnerungs-Mails + Notification-Prefs ... Geplante Erinnerungen (Feature-Parität mit Urlaubsverwaltung): - APScheduler (AsyncIOScheduler) in der FastAPI-Lifespan; tägliche Jobs ab settings.reminder_hour. Redis-Tageslock gegen Doppelversand bei mehreren Prozessen; jeder Job mit eigener Session + RLS-Bypass. - Drei Jobs (auch einzeln aufrufbar): offene Anträge an Genehmiger, Resturlaub-Verfall-Vorwarnung an Mitarbeiter, fehlende AU an HR. - Pro-User notification_prefs (JSONB, opt-out); GET/PATCH /users/me/notification-prefs + ProfilePage-UI; Vertreter-Mail respektiert die Prefs. - Manueller Trigger POST /companies/me/run-reminders (Admin) – gleiche Logik, firmen-scoped (testbar ohne Warten). - Bugfix: GET-/PATCH-Urlaubskonto (update_balance) nutzte nicht existente Felder (base_days/carried_over_days/ip_address) → korrigiert auf entitled_days/carried_over/ip + company_id; available_days ergänzt. Migration 0037 (users.notification_prefs). 188/188 Tests grün. Deployed 137 + 164. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-23 12:21:14 +02:00
patrickandClaude Opus 4.8	3b2df1c978	feat: agent-11 PR1 – Vertretung, Storno-Re-Genehmigung, Kommentare ... Abwesenheits-Modul abgerundet (Feature-Parität mit Urlaubsverwaltung): - Vertretung: Overlap-Warnung beim Anlegen, E-Mail an Vertretung bei Genehmigung, GET /absences/?as_substitute=true, neuer schlanker GET /users/colleagues (alle Rollen, RLS-gefenced) für die Auswahl; Vertreter-Dropdown + Anzeige in der Liste. - Stornierung mit Re-Genehmigung: neuer Status CANCELLATION_REQUESTED, POST /absences/{id}/request-cancellation; Manager genehmigt/lehnt über bestehende approve/reject ab (Urlaub + FZA-Rückbuchung via _apply_cancellation). - Kommentare: Model AbsenceComment (company_id-RLS), GET/POST comments, System-Kommentare bei Statuswechsel, AbsenceCommentsModal. - Fix: CalDAV fire-and-forget nutzte die Request-Session weiter (in Tests geteilt -> "another operation in progress"); jetzt sync_*_bg mit eigener Session + RLS-Bypass. Migration 0035. 178/178 Tests grün. Deployed auf 137 + 164. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-23 11:47:47 +02:00
patrickandClaude Sonnet 4.6	f2e997475e	security: N-1 uvicorn proxy-headers + N-2 Token-Reuse-Detection + N-3 XSS-Audit + N-4 Token-URL-Fragment + N-5 pip-audit CI ... N-1: uvicorn --proxy-headers --forwarded-allow-ips=127.0.0.1 - timemaster.service: proxy-headers Flag gesetzt (beide Server) N-2: Refresh-Token Re-Use-Detection - auth_service.py: verbrauchter Token-Hash 48h in Redis (burned_token:<hash>) - Bei erneutem Einsatz: alle Sessions invalidieren + AuditLog + HTTP 401 N-3: dangerouslySetInnerHTML-Audit - Kein Vorkommen im Frontend gefunden — sauber N-4: Reset/Invite-Token als URL-Fragment statt Query-Parameter - email_service.py: ?token= → # (Fragment wird nicht in Referer gesendet) - ResetPasswordPage.tsx: useSearchParams → window.location.hash.slice(1) - Token-Lebensdauern geprüft: Reset 1h, Invite 7d — OK N-5: Gitea CI Security-Workflow - .gitea/workflows/security.yml: pip-audit + npm audit - Trigger: push/PR auf main + wöchentlich montags Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-05-26 12:55:41 +02:00
sysopsandClaude Sonnet 4.6	1fedd683e0	Initial commit – TimeMaster Zeiterfassung & HR-Tool ... Stand: agent-06 (Audit-Log), agent-05 (Krankmeldung), agent-07 Phase 1 (Personalnummer), Busylight-Pull-Integration, TOTP/2FA, Abwesenheiten, Zeiterfassung, Kiosk-Grundgerüst. Migrations 0001–0023 deployed auf 192.168.1.137 + .164. Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-05-23 20:03:27 +02:00