patrickandClaude Sonnet 5
d5b2fc75d6
login_qr() las den Redis-Token per GET und löschte ihn danach separat per DELETE – zwei parallele Requests mit demselben QR-Token konnten beide vor dem Löschen lesen und je eine Session erzeugen (Doppel-Login statt echtem Einmal-Token). Fix: GETDEL (atomar seit Redis 6.2, Server läuft 8.0.2). K-2 (Cross-Tenant-Redeem) aus demselben Audit betrifft keinen realen Code-Pfad – company_id-Vergleich in login_qr() war bereits korrekt, und die Kiosk-Geräte-Enrollment "QR-Redeem"-Annahme existiert nicht als HTTP-Flow (Enrollment läuft ausschließlich über authentifizierte CLI). Verifiziert vor Weiterplanung der Android-Tablet-Kiosk-Architektur. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Dzdm3EWeNdYFUuXFRJryA1