Florian WildeandClaude Opus 5
d30bb6d235
Verlangt eine Vorlagen-Version eine Freigabe, laesst sich ein Lauf erst abschliessen, wenn ein Zweiter ihn freigegeben hat. Das braucht zweierlei, und beides zusammen: das neue Recht `freigeben` (ADMIN und REDAKTEUR, nicht TECHNIKER) und dass man nicht an dem Lauf gearbeitet hat. Als gearbeitet zaehlt: angelegt, einen Schritt gesetzt oder abgeschlossen. Eine Zuweisung allein nicht — waere die Regel hier strenger, blockierte sie kleine Teams ohne Gewinn. Auch ein Administrator kann sich nicht selbst freigeben, und das ist der ganze Sinn. Die Pruefung sitzt in `hatDaranGearbeitet` an einer Stelle, wie `laufMussVeraenderbarSein`; die wichtigste Haelfte — der Ersteller — haelt zusaetzlich ein CHECK in der Datenbank. Zurueckweisen verlangt eine Begruendung, setzt den Lauf auf IN_ARBEIT und nimmt eine erteilte Freigabe zurueck. Kein fuenfter LaufStatus: ein neuer Enum-Wert haette jeden Codepfad betroffen, der heute vier Faelle kennt. Sobald jemand abzuschliessen versucht und die Freigabe fehlt, bekommen die Freigabeberechtigten eine Mail — ein anderer Empfaengerkreis als bei jeder anderen Meldung, und ohne die, die gearbeitet haben. Die Aufforderung entsteht ausserhalb der Transaktion: innerhalb wuerde sie mit dem Fehler zurueckgerollt, und dann wartet ein Lauf auf etwas, von dem niemand weiss. Ein partieller Unique-Index haelt sie bei mehreren Versuchen auf einmal. Die Pflicht haengt an der Version, nicht an der Vorlage: eine veroeffentlichte Version ist unveraenderlich, ein laufender Lauf behaelt also seine Regel. Beim Bearbeiten und Duplizieren wandert sie mit — das war die unmittelbare Lehre aus #039, wo die tiefe Kopie zwei Felder stillschweigend verworfen hatte. 1526 Vitest-Tests (vorher 1496), 115 E2E-Ablaeufe gruen. Klickprobe am gebauten Stand mit elf Pruefungen; drei rote Punkte darin waren meine eigenen Testfehler, einer davon lehrreich: ein reload() direkt nach einer Server Action trifft den Router-Cache von Next und zeigt kurz den alten Stand. Closes #40 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
98 lines
4.1 KiB
SQL
98 lines
4.1 KiB
SQL
-- ---------------------------------------------------------------------------
|
||
-- HANDGESCHRIEBEN. Prisma erzeugt hier zusaetzlich Loeschbefehle fuer die
|
||
-- zusammengesetzten Fremdschluessel (Mandantengrenze), die Trigramm-Indizes
|
||
-- (Archivsuche), die partiellen eindeutigen Indizes und alle Trigger: es kennt
|
||
-- sie nicht, weil sie sich im Schema nicht ausdruecken lassen. Diese
|
||
-- Loeschbefehle sind bewusst gestrichen.
|
||
--
|
||
-- tests/datenbankregeln.test.ts prueft, dass alle diese Objekte vorhanden sind –
|
||
-- ein versehentlich stehengelassener Loeschbefehl faellt dort sofort auf.
|
||
-- ---------------------------------------------------------------------------
|
||
|
||
-- Vier-Augen-Freigabe (#040).
|
||
|
||
/*
|
||
* Ein neuer Meldeanlass. Ohne ihn wartet ein Lauf auf eine Freigabe, von der
|
||
* niemand weiss — und das ist der Fall, der die ganze Regel wertlos macht:
|
||
* sie haelt den Abschluss auf, und keiner merkt es.
|
||
*/
|
||
ALTER TYPE "Meldeanlass" ADD VALUE IF NOT EXISTS 'LAUF_FREIGABE_OFFEN' BEFORE 'ABGLEICH_FEHLGESCHLAGEN';
|
||
|
||
ALTER TABLE "VorlagenVersion" ADD COLUMN "freigabePflicht" BOOLEAN NOT NULL DEFAULT false;
|
||
|
||
ALTER TABLE "Lauf"
|
||
ADD COLUMN "freigegebenVonId" TEXT,
|
||
ADD COLUMN "freigegebenAm" TIMESTAMP(3),
|
||
ADD COLUMN "freigabeNotiz" TEXT;
|
||
|
||
ALTER TABLE "Lauf"
|
||
ADD CONSTRAINT "Lauf_freigegebenVonId_fkey"
|
||
FOREIGN KEY ("freigegebenVonId") REFERENCES "Benutzer"("id")
|
||
ON DELETE RESTRICT ON UPDATE CASCADE;
|
||
|
||
CREATE INDEX "Lauf_freigegebenVonId_idx" ON "Lauf"("freigegebenVonId");
|
||
|
||
/*
|
||
* Freigeber und Zeitpunkt gehoeren zusammen, in beide Richtungen — wie bei
|
||
* `abgeschlossenAm`. Ohne den Zeitpunkt liesse sich nicht sagen, wann die
|
||
* Freigabe erteilt wurde, und ein Zeitpunkt ohne Freigeber behauptete eine
|
||
* Freigabe, die niemand gegeben hat.
|
||
*/
|
||
ALTER TABLE "Lauf"
|
||
ADD CONSTRAINT "Lauf_freigabe_mit_zeitpunkt"
|
||
CHECK (("freigegebenVonId" IS NULL) = ("freigegebenAm" IS NULL));
|
||
|
||
/*
|
||
* **Der Kern der Vier-Augen-Regel, in der Datenbank.**
|
||
*
|
||
* Wer den Lauf angelegt hat, gibt ihn nicht frei. Das prueft auch der Dienst,
|
||
* und zwar strenger: er sieht ausserdem nach, wer an den Schrittergebnissen
|
||
* gearbeitet hat (`Schrittergebnis.aktualisiertVonId`). Dafuer braeuchte ein
|
||
* CHECK eine Unterabfrage, und die gehoert nicht hinein.
|
||
*
|
||
* Diese Haelfte steht trotzdem hier, weil sie die wichtigere ist: der Ersteller
|
||
* ist der naheliegende Fall, und die Regel muss auch dann gelten, wenn jemand an
|
||
* der Service-Schicht vorbei schreibt (CLAUDE.md). Eine Freigabe, die in der
|
||
* Datenbank steht, ist damit nachweislich nicht vom Ersteller.
|
||
*/
|
||
ALTER TABLE "Lauf"
|
||
ADD CONSTRAINT "Lauf_freigabe_nicht_selbst"
|
||
CHECK ("freigegebenVonId" IS NULL OR "freigegebenVonId" <> "erstelltVonId");
|
||
|
||
/*
|
||
* **Die Freigabe-Aufforderung geht je Lauf und Empfaenger genau einmal hinaus.**
|
||
*
|
||
* Derselbe Grund wie bei „ueberfaellig“ (#034): sie entsteht bei einem
|
||
* gescheiterten Abschlussversuch, und ein Techniker versucht es mehrmals — ohne
|
||
* diesen Index bekaeme jeder Freigabeberechtigte bei jedem Versuch eine Mail,
|
||
* und jede davon waere fuer sich korrekt.
|
||
*
|
||
* Partiell, weil es nur fuer diesen einen Anlass gilt: nach einer Zurueckweisung
|
||
* und erneuter Fertigstellung soll **nicht** wieder gemahnt werden — der
|
||
* Zurueckweisende weiss ja, dass er wartet. Dafuer traegt die Zurueckweisung
|
||
* ihre eigene Notiz an der Abarbeitung.
|
||
*/
|
||
CREATE UNIQUE INDEX "Zustellung_freigabe_einmal"
|
||
ON "Zustellung"("laufId", "empfaenger")
|
||
WHERE "anlass" = 'LAUF_FREIGABE_OFFEN';
|
||
|
||
/*
|
||
* Gegenprobe: die neuen Spalten sind ueberall leer, und keine bestehende Version
|
||
* verlangt eine Freigabe. `ALTER TABLE ... ADD CONSTRAINT` prueft das von sich
|
||
* aus — aber eine Migration, die ihre eigene Annahme nicht nachrechnet, ist
|
||
* genau die Art Zusage, die dieses Projekt teuer bezahlt hat.
|
||
*/
|
||
DO $$
|
||
DECLARE
|
||
anzahl INTEGER;
|
||
BEGIN
|
||
SELECT count(*) INTO anzahl FROM "Lauf" WHERE "freigegebenVonId" IS NOT NULL;
|
||
IF anzahl > 0 THEN
|
||
RAISE EXCEPTION 'Unerwartet % Laeufe mit Freigabe vor der Migration.', anzahl;
|
||
END IF;
|
||
SELECT count(*) INTO anzahl FROM "VorlagenVersion" WHERE "freigabePflicht";
|
||
IF anzahl > 0 THEN
|
||
RAISE EXCEPTION 'Unerwartet % Versionen mit Freigabepflicht vor der Migration.', anzahl;
|
||
END IF;
|
||
END $$;
|