Florian WildeandClaude Opus 5
0e79bebd33
Das vollständige Datenmodell in deutscher Benennung: 20 Tabellen, 9 Aufzählungen, eine Migration, dazu die beiden framework-freien Helfer für die tagCodes der QR-Aufkleber und für verschlüsselte Geheimnisse. Die tragende Entscheidung ist, wo die Regeln stehen. Die Service-Schicht ist der richtige Ort für verständliche Meldungen, aber nicht der einzige Weg, auf dem Daten entstehen — Migrationen, psql, Skripte und ab Phase 4 die Connectoren schreiben an ihr vorbei. Was dabei stillschweigend falsch werden könnte, steht deshalb zusätzlich in der Datenbank: zwölf CHECK-Bedingungen, zwei partielle Eindeutigkeitsindizes und vier zusammengesetzte Fremdschlüssel. Die Mandantengrenze ist einer davon. Lauf verweist mit (geraetId, kundeId) auf Geraet(id, kundeId), analog für Person und Abteilung, und Geraet ebenso auf seinen Besitzer. Ein Lauf, der ein Gerät eines fremden Kunden zieht, ist damit nicht mehr bloß ein Fehler im Service, sondern strukturell unmöglich. MATCH SIMPLE lässt einen Lauf ohne Gerät weiterhin zu. Zwei Dinge kaskadieren bewusst nicht: ein Lauf nimmt seine Schrittergebnisse und Kommentare nicht mit, und ein Protokolleintrag verliert seinen Urheber nicht. Beides stünde gegen den Zweck eines Archivs. Aus demselben Grund gibt es TagCodeVergabe: ohne dieses Buch wäre ein tagCode nach dem Löschen eines Geräts wieder frei, und ein alter Aufkleber im Regal zeigte auf ein fremdes Objekt. Ein unabhängiger Review-Agent hat drei Lücken gefunden, die alle behoben sind: der im Auftrag geforderten Suchspalte Schrittergebnis.wert fehlte der Trigramm-Index; die im Lauf gewählte Abteilung war nur ein Wert in variablen statt ein Bezug, wodurch die Druckansicht eines archivierten Laufs nicht reproduzierbar gewesen wäre; und für die Kundenbindung eines Benutzers (#008) gab es keine Struktur, sie hätte also nur im Token stehen können — gegen die eigene Regel, Rechte pro Anfrage aus der Datenbank zu lesen. Das tagCode-Alphabet des Auftrags widerspricht sich: der wörtlich vorgegebene Zeichensatz enthält ein L, die Klammer daneben verbietet es. Wir folgen dem Wortlaut, weil die Klammer Verwechslungsgruppen benennt und keine Ausschlussliste ist — aus {1, I, L} sind 1 und I gestrichen, wodurch L eindeutig wird, und das Präfix LZ- enthält ohnehin in jedem Code ein L. Das Akzeptanzkriterium in #006 ist richtiggestellt worden statt umgekehrt. 106 Tests, davon 42 gegen die echten Datenbankregeln. Closes #6 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
4.5 KiB
4.5 KiB
#006 M1 – Datenmodell
Status: erledigt Meilenstein: v0.1.0 Labels: phase-1, backend Geschätzt: 5 h Tatsächlich: 1 h 10 min
Ziel
Das vollständige Schema in deutscher Benennung, sodass alle folgenden Meilensteine nur noch Verhalten ergänzen und keine Strukturänderung mehr brauchen.
Aufgaben
- Prisma 7: Generator
prisma-clientmitoutput = "../src/generated/prisma",datasourceohneurl,@prisma/adapter-pg prisma.config.tsmitmigrations.seed = "tsx prisma/seed.ts"src/lib/db.ts: Lazy-Singleton-Proxy, damitnext buildohneDATABASE_URLläuft, Dev-Instanz anglobalThis- Modelle:
Benutzer,Kunde,Einstellung,Verzeichnisquelle,Mitarbeiter,Abteilung,Geraet,GeraetetypVorlage,Vorlage,VorlagenVersion,VorlagenVariable,VorlagenAbschnitt,VorlagenSchritt,Lauf,Schrittergebnis,Kommentar,Protokoll,AbgleichSperre - Enums:
Rolle,Betriebsmodus,LaufStatus,SchrittZustand,SchrittTyp,GeraeteTyp,VersionStatus,Herkunft - Unique-Constraints:
Geraet.tagCode,(laufId, vorlagenSchrittId)aufSchrittergebnis,(quelleId, externeId)aufMitarbeiter,(kundeId, name)aufAbteilung,(kundeId)partiell füristeigeneOrganisation pg_trgm-Erweiterung und GIN-Indizes für die Archivsuche überLauf.titel,Schrittergebnis.notiz,Kommentar.rumpf- Jede kundenbezogene Zeile trägt
kundeIdals Pflichtfeld:Geraet,Mitarbeiter,Abteilung,Verzeichnisquelle,Lauf src/lib/tagcode.ts: AlphabetABCDEFGHJKLMNPQRSTUVWXYZ23456789, PräfixLZ-, 6 Zeichen, Kollisionsprüfung serverseitigsrc/lib/geheimnisse.ts: AES-256-GCM ausAPP_SECRET(scrypt-abgeleitet), fürbindPasswortVerschluesselt- Erste Migration,
prisma/seed.tsals idempotenter Rumpf: Admin ausSEED_ADMIN_EMAIL/SEED_ADMIN_PASSWORDmit@node-rs/argon2, eigene Organisation,EinstellungmitBetriebsmodus.INTERN tests/setup-env.ts,tests/global-setup.ts,tests/helpers/db.tsnach ProxLedger-Muster
Akzeptanzkriterien
prisma migrate deployläuft auf leerer Datenbank durchpnpm db:seedzweimal hintereinander ohne Fehler und ohne Datenänderung- Tests:
tagCodebenutzt nur das vorgegebene AlphabetABCDEFGHJKLMNPQRSTUVWXYZ23456789und enthält damit nie0,O,1oderI; eindeutig über 10 000 Ziehungen - Tests: verschlüsseln und entschlüsseln ist verlustfrei, zwei Verschlüsselungen desselben Klartexts unterscheiden sich (eigener IV), ein manipulierter Geheimtext wirft
next buildgelingt ohne gesetzteDATABASE_URL
Beim Bauen aufgefallen
- Widerspruch im Auftrag beim tagCode-Alphabet, aufgelöst. Das wörtlich vorgegebene Alphabet
ABCDEFGHJKLMNPQRSTUVWXYZ23456789enthält einL, obwohl die Klammer daneben „ohne 0/O, 1/I/L" sagt. Beides zugleich geht nicht: ohneLblieben 31 Zeichen. Wir folgen dem wörtlichen Alphabet, weil die Klammer die Verwechslungsgruppen benennt und keine Ausschlussliste ist: aus{0, O}sind beide weg, aus{1, I, L}sind1undIweg — dadurch istLeindeutig. Das PräfixLZ-enthält ohnehin in jedem Code einL. Das Akzeptanzkriterium oben ist entsprechend richtiggestellt; ein grüner Test über einem unerfüllten Kriterium wäre schlimmer als ein korrigiertes Kriterium. - Der unabhängige Review hat drei Lücken gefunden, die alle behoben sind: der geforderten
Suchspalte
Schrittergebnis.wertfehlte der Trigramm-Index; die im Lauf gewählte Abteilung war nur ein Wert invariablenstatt ein Bezug, wodurch die Druckansicht eines archivierten Laufs nicht reproduzierbar gewesen wäre; und für die Kundenbindung eines Benutzers (#008) gab es keine Struktur, sie hätte also nur im Token stehen können — gegen die eigene Regel, Rechte pro Anfrage aus der Datenbank zu lesen. - Ein
DELETEauf einen Lauf hätte Schrittergebnisse und Kommentare stillschweigend mitgenommen. JetztRestrict; ein Lauf lässt sich nur noch bewusst und in der richtigen Reihenfolge entfernen. Dasselbe für dasProtokoll, das seinen Urheber nicht mehr verlieren kann. tagCodewäre nach dem Löschen eines Geräts wieder frei gewesen. DeshalbTagCodeVergabeals Vergabebuch, aus dem nie gelöscht wird.prisma migrate reset --forcehat den Bestätigungsdialog trotzdem gezeigt und die Advisory-Sperre gehalten. Schneller und verlässlicher:DROP SCHEMA public CASCADEper psql, dannmigrate dev --create-only.