feat(auth): Anmeldung, Rollen und Benutzerverwaltung (#21)

OIDC mit Discovery, PKCE, state und nonce; lokaler Login mit argon2 als Notfallzugang; Rechte in einer Tabelle, Prüfung ausschließlich serverseitig, Rolle und Aktiv-Status pro Anfrage aus der Datenbank. Ein unabhängiger Review fand eine offene Weiterleitung: die Präfix-Prüfung des Rücksprungziels ließ /<TAB>/fremd.example durch, woraus der Browser //fremd.example macht. Das Ziel wird jetzt aufgelöst und die Herkunft verglichen. Dazu acht weitere Befunde, alle behoben. 274 Tests. Closes #7 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
2026-09-25 01:35:02 +00:00
parent 7a0f875f55
commit 40e95dbe5f
43 changed files with 3426 additions and 56 deletions
@@ -29,6 +29,10 @@ OIDC_ISSUER=
 OIDC_CLIENT_ID=
 OIDC_CLIENT_SECRET=
 OIDC_NAME=authentik
+# Angeforderte Bereiche. Der Standard reicht fuer authentik mit dem
+# Gruppen-Mapping aus docs/betrieb/authentik.md. Nur aendern, wenn der Anbieter
+# die Gruppen unter einem anderen Bereich liefert.
+OIDC_SCOPE=openid profile email groups

 # Zuordnung der Rollen ueber den groups-Claim. Wird bei jedem Login neu ausgewertet.
 OIDC_GROUP_ADMIN=lz-admin