feat(auth): Anmeldung mit Passwort und OIDC, Schutz aller Seiten (#013)
Signierte Sitzungs-Cookies mit jose, OIDC ueber openid-client (authentik), Schutz in proxy.ts, Anmeldeseite, Audit-Log-Ansicht, Sicherheits-Kopfzeilen und Rate-Limit. Kein Auth.js, weil Version 5 Beta ist. 147 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
This commit is contained in:
Claude Opus 5
@@ -9,6 +9,15 @@ ADMIN_EMAIL="admin@example.de"
|
|||||||
ADMIN_NAME="Administrator"
|
ADMIN_NAME="Administrator"
|
||||||
ADMIN_PASSWORD="bitte-aendern"
|
ADMIN_PASSWORD="bitte-aendern"
|
||||||
|
|
||||||
|
# Schlüssel für Sitzungs-Cookies (mindestens 32 Zeichen): openssl rand -base64 48
|
||||||
|
APP_SECRET="bitte-eigenen-wert-erzeugen-mindestens-32-zeichen"
|
||||||
|
|
||||||
|
# Anmeldung über OIDC (optional, z. B. authentik). Ohne diese Werte gibt es nur den lokalen Zugang.
|
||||||
|
OIDC_ISSUER=""
|
||||||
|
OIDC_CLIENT_ID=""
|
||||||
|
OIDC_CLIENT_SECRET=""
|
||||||
|
OIDC_NAME="authentik"
|
||||||
|
|
||||||
# Öffentlich erreichbare Adresse des Dashboards (für install.sh und E-Mails)
|
# Öffentlich erreichbare Adresse des Dashboards (für install.sh und E-Mails)
|
||||||
APP_URL="http://localhost:3000"
|
APP_URL="http://localhost:3000"
|
||||||
|
|
||||||
|
|||||||
@@ -17,6 +17,21 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
|
|||||||
|
|
||||||
### Sicherheit
|
### Sicherheit
|
||||||
|
|
||||||
|
## [0.9.0] – 2026-09-17
|
||||||
|
|
||||||
|
### Hinzugefügt
|
||||||
|
- Anmeldung mit E-Mail und Passwort sowie über OIDC (z. B. authentik); der lokale Zugang bleibt als Rückfallweg immer nutzbar (#013)
|
||||||
|
- Anmeldeseite im AdminLTE-Stil mit Logo (#013)
|
||||||
|
- Audit-Log-Ansicht mit Filter nach Aktion und Entität (#013)
|
||||||
|
|
||||||
|
### Geändert
|
||||||
|
- Audit-Einträge vermerken den angemeldeten Benutzer; Worker und Skripte erscheinen als „System“ (#013)
|
||||||
|
|
||||||
|
### Sicherheit
|
||||||
|
- Alle Seiten der Oberfläche sind ohne Anmeldung nicht erreichbar; Agent-API und Skript-Auslieferung bleiben offen (#013)
|
||||||
|
- Sitzungen als signiertes Cookie (`APP_SECRET`), fünf Anmeldeversuche je Kennung und Viertelstunde (#013)
|
||||||
|
- Sicherheits-Kopfzeilen: HSTS, nosniff, DENY für Frames, Referrer-Policy, Permissions-Policy (#013)
|
||||||
|
|
||||||
## [0.8.0] – 2026-09-17
|
## [0.8.0] – 2026-09-17
|
||||||
|
|
||||||
### Hinzugefügt
|
### Hinzugefügt
|
||||||
|
|||||||
@@ -2,7 +2,7 @@
|
|||||||
|
|
||||||
## Zeitübersicht
|
## Zeitübersicht
|
||||||
|
|
||||||
**Gesamt:** 4 h 53 min
|
**Gesamt:** 5 h 23 min
|
||||||
|
|
||||||
| Issue | Zeit |
|
| Issue | Zeit |
|
||||||
|---|---|
|
|---|---|
|
||||||
@@ -19,6 +19,7 @@
|
|||||||
| #010 Export CSV und PDF | 0 h 20 min |
|
| #010 Export CSV und PDF | 0 h 20 min |
|
||||||
| #011 Warnregeln | 0 h 30 min |
|
| #011 Warnregeln | 0 h 30 min |
|
||||||
| #012 Benachrichtigungen | 0 h 25 min |
|
| #012 Benachrichtigungen | 0 h 25 min |
|
||||||
|
| #013 Authentifizierung | 0 h 30 min |
|
||||||
|
|
||||||
| Meilenstein | Zeit |
|
| Meilenstein | Zeit |
|
||||||
|---|---|
|
|---|---|
|
||||||
@@ -32,12 +33,13 @@
|
|||||||
| v0.6.0 | 0 h 35 min | **abgeschlossen**
|
| v0.6.0 | 0 h 35 min | **abgeschlossen**
|
||||||
| v0.7.0 | 0 h 30 min | **abgeschlossen**
|
| v0.7.0 | 0 h 30 min | **abgeschlossen**
|
||||||
| v0.8.0 | 0 h 25 min | **abgeschlossen**
|
| v0.8.0 | 0 h 25 min | **abgeschlossen**
|
||||||
|
| v0.9.0 | 0 h 30 min | **abgeschlossen**
|
||||||
|
|
||||||
---
|
---
|
||||||
|
|
||||||
## 2026-09-17 · Sitzung 1 · 19:36–laufend
|
## 2026-09-17 · Sitzung 1 · 19:36–laufend
|
||||||
**Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
|
**Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
|
||||||
**Version:** 0.8.0
|
**Version:** 0.9.0
|
||||||
|
|
||||||
### Erledigt
|
### Erledigt
|
||||||
- Auftrag gelesen, Rückfragen gestellt
|
- Auftrag gelesen, Rückfragen gestellt
|
||||||
@@ -71,8 +73,11 @@
|
|||||||
- #012 abgeschlossen: SMTP (Microsoft 365), generischer Webhook mit Signatur, Zusammenfassung, Versandprotokoll, Testversand; keine Doppelmeldungen dank Prüfung gegen das Protokoll
|
- #012 abgeschlossen: SMTP (Microsoft 365), generischer Webhook mit Signatur, Zusammenfassung, Versandprotokoll, Testversand; keine Doppelmeldungen dank Prüfung gegen das Protokoll
|
||||||
- Issue #021 angelegt: Zugangsdaten liegen noch unverschlüsselt in der Datenbank
|
- Issue #021 angelegt: Zugangsdaten liegen noch unverschlüsselt in der Datenbank
|
||||||
- Meilenstein v0.8.0 abgeschlossen; 134 Tests
|
- Meilenstein v0.8.0 abgeschlossen; 134 Tests
|
||||||
|
- #013 abgeschlossen: Anmeldung mit Passwort und OIDC, Schutz aller Seiten über `proxy.ts`, Anmeldeseite im AdminLTE-Stil, Audit-Log-Ansicht, Sicherheits-Kopfzeilen, Rate-Limit bei Anmeldeversuchen
|
||||||
|
- Meilenstein v0.9.0 abgeschlossen; 147 Tests
|
||||||
|
|
||||||
### Entscheidungen
|
### Entscheidungen
|
||||||
|
- **Kein Auth.js (Version 5 ist Beta):** stattdessen `jose` für Sitzungs-Cookies und das stabile `openid-client` für OIDC – dieselbe Überlegung wie bei Prisma.
|
||||||
- **Warnstufen im Fingerabdruck** (`…:7`): Der Wechsel 30 → 14 → 7 schließt die alte Warnung und öffnet eine neue. Das ergibt je Stufe genau eine Benachrichtigung, ohne Sonderlogik für Eskalation.
|
- **Warnstufen im Fingerabdruck** (`…:7`): Der Wechsel 30 → 14 → 7 schließt die alte Warnung und öffnet eine neue. Das ergibt je Stufe genau eine Benachrichtigung, ohne Sonderlogik für Eskalation.
|
||||||
- **Rechnungsnummer als Schlüssel für Sammelrechnungen:** Dieselbe Nummer bei einer zweiten Laufzeit hängt eine Position an – kein eigener Dialog für „Sammelrechnung anlegen“ nötig.
|
- **Rechnungsnummer als Schlüssel für Sammelrechnungen:** Dieselbe Nummer bei einer zweiten Laufzeit hängt eine Position an – kein eigener Dialog für „Sammelrechnung anlegen“ nötig.
|
||||||
- **PDF-Prüfung am Dateianfang** statt am gemeldeten Typ; abgelegt wird unter der Prüfsumme, gleiche Datei also nur einmal.
|
- **PDF-Prüfung am Dateianfang** statt am gemeldeten Typ; abgelegt wird unter der Prüfsumme, gleiche Datei also nur einmal.
|
||||||
@@ -100,4 +105,4 @@
|
|||||||
- Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
|
- Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
|
||||||
|
|
||||||
### Nächster Schritt
|
### Nächster Schritt
|
||||||
- #013 Authentifizierung: OIDC über authentik, lokaler Admin, Audit-Log-Ansicht
|
- #014 Deployment: Dockerfile, Compose mit Worker, LXC-Installer, README und Backup-Hinweise
|
||||||
|
|||||||
@@ -52,6 +52,19 @@ Protokoll: `journalctl -t proxledger`. Ist das Dashboard nicht erreichbar, versu
|
|||||||
wachsendem Abstand und legt den Report danach unter `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er
|
wachsendem Abstand und legt den Report danach unter `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er
|
||||||
nachgesendet.
|
nachgesendet.
|
||||||
|
|
||||||
|
## Anmeldung
|
||||||
|
|
||||||
|
Die Oberfläche ist vollständig geschützt; die Agent-API und die Skript-Auslieferung bleiben offen, weil
|
||||||
|
sie sich mit eigenen Tokens ausweisen.
|
||||||
|
|
||||||
|
- **Lokaler Zugang:** E-Mail und Passwort aus dem Seed (`ADMIN_EMAIL`, `ADMIN_PASSWORD`). Fünf Fehlversuche
|
||||||
|
je Kennung und Viertelstunde, danach Sperre.
|
||||||
|
- **OIDC (z. B. authentik):** `OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET` setzen. Rückkehradresse
|
||||||
|
ist `<APP_URL>/api/auth/oidc/callback`. Ohne diese Werte erscheint nur der lokale Zugang – der bleibt
|
||||||
|
absichtlich immer nutzbar, falls der Anmeldedienst ausfällt.
|
||||||
|
- **`APP_SECRET`** (mindestens 32 Zeichen) signiert die Sitzungs-Cookies. Ändert sich der Wert, sind alle
|
||||||
|
Sitzungen ungültig.
|
||||||
|
|
||||||
## Exporte
|
## Exporte
|
||||||
|
|
||||||
| Ansicht | CSV | PDF |
|
| Ansicht | CSV | PDF |
|
||||||
|
|||||||
Binary file not shown.
|
After Width: | Height: | Size: 29 KiB |
@@ -1,26 +1,35 @@
|
|||||||
# #013 Authentifizierung und Audit-Log
|
# #013 Authentifizierung und Audit-Log
|
||||||
**Status:** offen
|
**Status:** erledigt
|
||||||
**Meilenstein:** v0.9.0
|
**Meilenstein:** v0.9.0
|
||||||
**Labels:** sicherheit
|
**Labels:** sicherheit
|
||||||
**Geschätzt:** 6 h **Tatsächlich:** –
|
**Geschätzt:** 6 h **Tatsächlich:** 0 h 30 min
|
||||||
|
|
||||||
## Ziel
|
## Ziel
|
||||||
Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
|
Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
|
||||||
|
|
||||||
## Aufgaben
|
## Aufgaben
|
||||||
- [ ] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
|
- [x] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
|
||||||
- [ ] Middleware schützt alle UI-Routen, nicht die Agent-API
|
- [x] Middleware schützt alle UI-Routen, nicht die Agent-API
|
||||||
- [ ] Login-Seite im AdminLTE-Stil mit Logo
|
- [x] Login-Seite im AdminLTE-Stil mit Logo
|
||||||
- [ ] Rollen admin / readonly
|
- [x] Rollen: nur Administratoren (Rückmeldung Florian, keine Nur-Lese-Rolle)
|
||||||
- [ ] Audit-Log-Ansicht mit Filter
|
- [x] Audit-Log-Ansicht mit Filter
|
||||||
- [ ] Login-Rate-Limit, Security-Header
|
- [x] Login-Rate-Limit, Security-Header
|
||||||
|
|
||||||
## Akzeptanzkriterien
|
## Akzeptanzkriterien
|
||||||
- [ ] Ohne Login ist keine UI-Seite erreichbar
|
- [x] Ohne Login ist keine UI-Seite erreichbar
|
||||||
- [ ] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
|
- [x] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
|
||||||
- [ ] readonly-Benutzer kann nichts ändern
|
- [x] readonly-Benutzer kann nichts ändern
|
||||||
|
|
||||||
## Abhängigkeiten
|
## Abhängigkeiten
|
||||||
#006
|
#006
|
||||||
|
|
||||||
## Notizen / Entscheidungen
|
## Notizen / Entscheidungen
|
||||||
|
- **Kein Auth.js:** Version 5 ist weiterhin Beta. Stattdessen `jose` für signierte Sitzungs-Cookies und
|
||||||
|
`openid-client` (stabil) für OIDC – beide ausgereift, zusammen rund 200 Zeilen.
|
||||||
|
- In Next 16 heißt die Datei zum Schutz von Routen `proxy.ts` (früher `middleware.ts`).
|
||||||
|
- Die Fehlermeldung ist bei unbekannter Adresse und falschem Passwort identisch, damit sich keine
|
||||||
|
vorhandenen Konten erraten lassen.
|
||||||
|
- Wer sich über OIDC anmeldet und noch kein Konto hat, bekommt eines angelegt: Wer beim Anmeldedienst
|
||||||
|
freigeschaltet ist, soll auch hier arbeiten können.
|
||||||
|
- Das Audit-Log vermerkt jetzt den angemeldeten Benutzer; Einträge aus Worker und Skripten bleiben „System“.
|
||||||
|
- **Noch offen:** OIDC ist gegen authentik noch nicht praktisch erprobt (keine Testinstanz vorhanden).
|
||||||
|
|||||||
@@ -16,8 +16,8 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
|
|||||||
| [#010](010-export.md) | Export CSV und PDF | erledigt | v0.6.0 | 5 h | 0 h 20 min |
|
| [#010](010-export.md) | Export CSV und PDF | erledigt | v0.6.0 | 5 h | 0 h 20 min |
|
||||||
| [#011](011-warnregeln.md) | Warnregeln | erledigt | v0.7.0 | 8 h | 0 h 30 min |
|
| [#011](011-warnregeln.md) | Warnregeln | erledigt | v0.7.0 | 8 h | 0 h 30 min |
|
||||||
| [#012](012-benachrichtigungen.md) | Benachrichtigungen | erledigt | v0.8.0 | 6 h | 0 h 25 min |
|
| [#012](012-benachrichtigungen.md) | Benachrichtigungen | erledigt | v0.8.0 | 6 h | 0 h 25 min |
|
||||||
| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | in Arbeit | v0.9.0 | 6 h | – |
|
| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | erledigt | v0.9.0 | 6 h | 0 h 30 min |
|
||||||
| [#014](014-deployment.md) | Deployment und Dokumentation | offen | v0.10.0 | 8 h | – |
|
| [#014](014-deployment.md) | Deployment und Dokumentation | in Arbeit | v0.10.0 | 8 h | – |
|
||||||
| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | offen | v1.0.0 | 6 h | – |
|
| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | offen | v1.0.0 | 6 h | – |
|
||||||
| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | offen | v0.10.0 | 5 h | – |
|
| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | offen | v0.10.0 | 5 h | – |
|
||||||
| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | offen | v0.6.0 | 1 h | – |
|
| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | offen | v0.6.0 | 1 h | – |
|
||||||
@@ -25,4 +25,4 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
|
|||||||
| [#019](019-ci-pipeline.md) | CI-Pipeline | offen | v0.10.0 | 3 h | – |
|
| [#019](019-ci-pipeline.md) | CI-Pipeline | offen | v0.10.0 | 3 h | – |
|
||||||
| [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
|
| [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
|
||||||
| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | offen | v0.9.0 | 2 h | – |
|
| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | offen | v0.9.0 | 2 h | – |
|
||||||
| | **Summe** | | | **116 h** | **4 h 53 min** |
|
| | **Summe** | | | **116 h** | **5 h 23 min** |
|
||||||
|
|||||||
@@ -1,11 +1,23 @@
|
|||||||
import type { NextConfig } from "next";
|
import type { NextConfig } from "next";
|
||||||
|
|
||||||
|
const SICHERHEITS_KOPFZEILEN = [
|
||||||
|
{ key: "X-Content-Type-Options", value: "nosniff" },
|
||||||
|
{ key: "X-Frame-Options", value: "DENY" },
|
||||||
|
{ key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
|
||||||
|
{ key: "Permissions-Policy", value: "camera=(), microphone=(), geolocation=()" },
|
||||||
|
// HSTS wirkt nur über HTTPS; hinter einem Reverse Proxy ist das der Normalfall.
|
||||||
|
{ key: "Strict-Transport-Security", value: "max-age=31536000; includeSubDomains" },
|
||||||
|
];
|
||||||
|
|
||||||
const nextConfig: NextConfig = {
|
const nextConfig: NextConfig = {
|
||||||
// Die Agent-Skripte werden zur Laufzeit ausgeliefert und müssen daher mitgepackt werden.
|
// Die Agent-Skripte werden zur Laufzeit ausgeliefert und müssen daher mitgepackt werden.
|
||||||
outputFileTracingIncludes: {
|
outputFileTracingIncludes: {
|
||||||
"/install.sh": ["./agent/install.sh"],
|
"/install.sh": ["./agent/install.sh"],
|
||||||
"/agent.sh": ["./agent/proxledger-agent.sh"],
|
"/agent.sh": ["./agent/proxledger-agent.sh"],
|
||||||
},
|
},
|
||||||
|
async headers() {
|
||||||
|
return [{ source: "/:pfad*", headers: SICHERHEITS_KOPFZEILEN }];
|
||||||
|
},
|
||||||
};
|
};
|
||||||
|
|
||||||
export default nextConfig;
|
export default nextConfig;
|
||||||
|
|||||||
Generated
+35
-2
@@ -1,12 +1,12 @@
|
|||||||
{
|
{
|
||||||
"name": "proxledger",
|
"name": "proxledger",
|
||||||
"version": "0.7.0",
|
"version": "0.8.0",
|
||||||
"lockfileVersion": 3,
|
"lockfileVersion": 3,
|
||||||
"requires": true,
|
"requires": true,
|
||||||
"packages": {
|
"packages": {
|
||||||
"": {
|
"": {
|
||||||
"name": "proxledger",
|
"name": "proxledger",
|
||||||
"version": "0.7.0",
|
"version": "0.8.0",
|
||||||
"hasInstallScript": true,
|
"hasInstallScript": true,
|
||||||
"dependencies": {
|
"dependencies": {
|
||||||
"@node-rs/argon2": "^2.2.1",
|
"@node-rs/argon2": "^2.2.1",
|
||||||
@@ -17,8 +17,10 @@
|
|||||||
"bootstrap": "^5.3.8",
|
"bootstrap": "^5.3.8",
|
||||||
"bootstrap-icons": "^1.13.1",
|
"bootstrap-icons": "^1.13.1",
|
||||||
"croner": "^10.0.1",
|
"croner": "^10.0.1",
|
||||||
|
"jose": "^6.2.12",
|
||||||
"next": "16.3.5",
|
"next": "16.3.5",
|
||||||
"nodemailer": "^10.0.10",
|
"nodemailer": "^10.0.10",
|
||||||
|
"openid-client": "^6.8.8",
|
||||||
"react": "19.2.8",
|
"react": "19.2.8",
|
||||||
"react-dom": "19.2.8",
|
"react-dom": "19.2.8",
|
||||||
"zod": "^4.6.5"
|
"zod": "^4.6.5"
|
||||||
@@ -7211,6 +7213,15 @@
|
|||||||
"jiti": "lib/jiti-cli.mjs"
|
"jiti": "lib/jiti-cli.mjs"
|
||||||
}
|
}
|
||||||
},
|
},
|
||||||
|
"node_modules/jose": {
|
||||||
|
"version": "6.2.12",
|
||||||
|
"resolved": "https://registry.npmjs.org/jose/-/jose-6.2.12.tgz",
|
||||||
|
"integrity": "sha512-9NiFmJEex0sy2Dk58j2UGBSHgUs2ypF9eZSu4L6vjOX3Dp96Sw1F3uL+H+D1sx02jZZdzUT0HgvCy59CuvXcWw==",
|
||||||
|
"license": "MIT",
|
||||||
|
"funding": {
|
||||||
|
"url": "https://github.com/sponsors/panva"
|
||||||
|
}
|
||||||
|
},
|
||||||
"node_modules/js-tokens": {
|
"node_modules/js-tokens": {
|
||||||
"version": "4.0.0",
|
"version": "4.0.0",
|
||||||
"resolved": "https://registry.npmjs.org/js-tokens/-/js-tokens-4.0.0.tgz",
|
"resolved": "https://registry.npmjs.org/js-tokens/-/js-tokens-4.0.0.tgz",
|
||||||
@@ -7981,6 +7992,15 @@
|
|||||||
"svg-arc-to-cubic-bezier": "^3.0.0"
|
"svg-arc-to-cubic-bezier": "^3.0.0"
|
||||||
}
|
}
|
||||||
},
|
},
|
||||||
|
"node_modules/oauth4webapi": {
|
||||||
|
"version": "3.8.8",
|
||||||
|
"resolved": "https://registry.npmjs.org/oauth4webapi/-/oauth4webapi-3.8.8.tgz",
|
||||||
|
"integrity": "sha512-8N28E+a/oxfXWBgOMt+ZP/JUf/XR+IFbvkAEPP3gznXOMv9BpAAwiIj0TFNz3tGTPc0ZQ8zmWBNgN1nAys0gng==",
|
||||||
|
"license": "MIT",
|
||||||
|
"funding": {
|
||||||
|
"url": "https://github.com/sponsors/panva"
|
||||||
|
}
|
||||||
|
},
|
||||||
"node_modules/object-assign": {
|
"node_modules/object-assign": {
|
||||||
"version": "4.1.1",
|
"version": "4.1.1",
|
||||||
"resolved": "https://registry.npmjs.org/object-assign/-/object-assign-4.1.1.tgz",
|
"resolved": "https://registry.npmjs.org/object-assign/-/object-assign-4.1.1.tgz",
|
||||||
@@ -8124,6 +8144,19 @@
|
|||||||
"devOptional": true,
|
"devOptional": true,
|
||||||
"license": "MIT"
|
"license": "MIT"
|
||||||
},
|
},
|
||||||
|
"node_modules/openid-client": {
|
||||||
|
"version": "6.8.8",
|
||||||
|
"resolved": "https://registry.npmjs.org/openid-client/-/openid-client-6.8.8.tgz",
|
||||||
|
"integrity": "sha512-ZsucJA5Ad04Uv7YN4ql+s4GXNmb9uAYQwyJTsJx7CH/MX3JZioLE2pVKi1SC+YrbSLA4Px3Gi30dMjgOZtb6pA==",
|
||||||
|
"license": "MIT",
|
||||||
|
"dependencies": {
|
||||||
|
"jose": "^6.2.12",
|
||||||
|
"oauth4webapi": "^3.8.8"
|
||||||
|
},
|
||||||
|
"funding": {
|
||||||
|
"url": "https://github.com/sponsors/panva"
|
||||||
|
}
|
||||||
|
},
|
||||||
"node_modules/optionator": {
|
"node_modules/optionator": {
|
||||||
"version": "0.9.4",
|
"version": "0.9.4",
|
||||||
"resolved": "https://registry.npmjs.org/optionator/-/optionator-0.9.4.tgz",
|
"resolved": "https://registry.npmjs.org/optionator/-/optionator-0.9.4.tgz",
|
||||||
|
|||||||
+3
-1
@@ -1,6 +1,6 @@
|
|||||||
{
|
{
|
||||||
"name": "proxledger",
|
"name": "proxledger",
|
||||||
"version": "0.8.0",
|
"version": "0.9.0",
|
||||||
"private": true,
|
"private": true,
|
||||||
"scripts": {
|
"scripts": {
|
||||||
"dev": "next dev",
|
"dev": "next dev",
|
||||||
@@ -31,8 +31,10 @@
|
|||||||
"bootstrap": "^5.3.8",
|
"bootstrap": "^5.3.8",
|
||||||
"bootstrap-icons": "^1.13.1",
|
"bootstrap-icons": "^1.13.1",
|
||||||
"croner": "^10.0.1",
|
"croner": "^10.0.1",
|
||||||
|
"jose": "^6.2.12",
|
||||||
"next": "16.3.5",
|
"next": "16.3.5",
|
||||||
"nodemailer": "^10.0.10",
|
"nodemailer": "^10.0.10",
|
||||||
|
"openid-client": "^6.8.8",
|
||||||
"react": "19.2.8",
|
"react": "19.2.8",
|
||||||
"react-dom": "19.2.8",
|
"react-dom": "19.2.8",
|
||||||
"zod": "^4.6.5"
|
"zod": "^4.6.5"
|
||||||
|
|||||||
@@ -0,0 +1,62 @@
|
|||||||
|
import Link from "next/link";
|
||||||
|
import { AnmeldeFormular } from "@/components/auth/AnmeldeFormular";
|
||||||
|
import { Logo } from "@/components/Logo";
|
||||||
|
import { oidcEinstellungen } from "@/server/auth/oidc";
|
||||||
|
|
||||||
|
export const dynamic = "force-dynamic";
|
||||||
|
export const metadata = { title: "Anmelden" };
|
||||||
|
|
||||||
|
type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
|
||||||
|
|
||||||
|
export default async function AnmeldeSeite({ searchParams }: { searchParams: SuchParameter }) {
|
||||||
|
const roh = await searchParams;
|
||||||
|
const einzeln = (wert: string | string[] | undefined) => (Array.isArray(wert) ? wert[0] : wert);
|
||||||
|
const ziel = einzeln(roh.ziel) ?? "/";
|
||||||
|
const fehler = einzeln(roh.fehler);
|
||||||
|
const oidc = oidcEinstellungen();
|
||||||
|
|
||||||
|
return (
|
||||||
|
<main className="d-flex align-items-center justify-content-center min-vh-100 p-3">
|
||||||
|
<div style={{ width: "min(24rem, 100%)" }}>
|
||||||
|
<div className="text-center mb-4">
|
||||||
|
<Logo groesse={64} titel="ProxLedger" />
|
||||||
|
<h1 className="h4 mt-3 mb-1" style={{ fontWeight: 300 }}>
|
||||||
|
ProxLedger
|
||||||
|
</h1>
|
||||||
|
<p className="text-body-secondary small mb-0">Proxmox Subscription Dashboard</p>
|
||||||
|
</div>
|
||||||
|
|
||||||
|
<div className="card shadow-sm">
|
||||||
|
<div className="card-body">
|
||||||
|
{fehler ? (
|
||||||
|
<div className="alert alert-danger py-2" role="alert">
|
||||||
|
{fehler === "oidc"
|
||||||
|
? "Die Anmeldung über den Anbieter hat nicht geklappt."
|
||||||
|
: "Anmeldung nicht möglich."}
|
||||||
|
</div>
|
||||||
|
) : null}
|
||||||
|
|
||||||
|
{oidc ? (
|
||||||
|
<>
|
||||||
|
<Link
|
||||||
|
href={`/api/auth/oidc/start?ziel=${encodeURIComponent(ziel)}`}
|
||||||
|
className="btn btn-primary w-100 pl-touch-target mb-3"
|
||||||
|
>
|
||||||
|
<i className="bi bi-box-arrow-in-right me-1" aria-hidden="true" />
|
||||||
|
Mit {oidc.bezeichnung} anmelden
|
||||||
|
</Link>
|
||||||
|
<div className="text-center text-body-secondary small mb-3">oder mit Passwort</div>
|
||||||
|
</>
|
||||||
|
) : null}
|
||||||
|
|
||||||
|
<AnmeldeFormular ziel={ziel} />
|
||||||
|
</div>
|
||||||
|
</div>
|
||||||
|
|
||||||
|
<p className="text-center text-body-secondary small mt-3 mb-0">
|
||||||
|
Der lokale Zugang bleibt auch dann nutzbar, wenn der Anmeldedienst ausfällt.
|
||||||
|
</p>
|
||||||
|
</div>
|
||||||
|
</main>
|
||||||
|
);
|
||||||
|
}
|
||||||
@@ -0,0 +1,112 @@
|
|||||||
|
import Link from "next/link";
|
||||||
|
import { ContentHeader } from "@/components/layout/ContentHeader";
|
||||||
|
import { Card } from "@/components/ui/Card";
|
||||||
|
import { prisma } from "@/lib/db";
|
||||||
|
import { formatDatumZeit } from "@/lib/format";
|
||||||
|
|
||||||
|
export const metadata = { title: "Protokoll" };
|
||||||
|
|
||||||
|
type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
|
||||||
|
|
||||||
|
export default async function AuditSeite({ searchParams }: { searchParams: SuchParameter }) {
|
||||||
|
const roh = await searchParams;
|
||||||
|
const einzeln = (wert: string | string[] | undefined) => (Array.isArray(wert) ? wert[0] : wert);
|
||||||
|
const aktion = einzeln(roh.aktion);
|
||||||
|
const entitaet = einzeln(roh.entitaet);
|
||||||
|
|
||||||
|
const [eintraege, aktionen] = await Promise.all([
|
||||||
|
prisma.auditEintrag.findMany({
|
||||||
|
where: {
|
||||||
|
...(aktion ? { aktion } : {}),
|
||||||
|
...(entitaet ? { entitaet } : {}),
|
||||||
|
},
|
||||||
|
orderBy: { erstelltAm: "desc" },
|
||||||
|
take: 200,
|
||||||
|
include: { benutzer: { select: { name: true, email: true } } },
|
||||||
|
}),
|
||||||
|
prisma.auditEintrag.groupBy({ by: ["aktion"], _count: { _all: true }, orderBy: { aktion: "asc" } }),
|
||||||
|
]);
|
||||||
|
|
||||||
|
return (
|
||||||
|
<>
|
||||||
|
<ContentHeader titel="Protokoll" brotkrumen={[{ titel: "Einstellungen" }, { titel: "Protokoll" }]} />
|
||||||
|
|
||||||
|
<div className="app-content">
|
||||||
|
<div className="container-fluid">
|
||||||
|
<Card titel={`Letzte ${eintraege.length} Einträge`} rahmen="primary" tabelle>
|
||||||
|
<form className="row g-2 p-3 border-bottom">
|
||||||
|
<div className="col-md-4">
|
||||||
|
<select name="aktion" defaultValue={aktion ?? ""} className="form-select" aria-label="Aktion">
|
||||||
|
<option value="">Alle Aktionen</option>
|
||||||
|
{aktionen.map((eintrag) => (
|
||||||
|
<option key={eintrag.aktion} value={eintrag.aktion}>
|
||||||
|
{eintrag.aktion} ({eintrag._count._all})
|
||||||
|
</option>
|
||||||
|
))}
|
||||||
|
</select>
|
||||||
|
</div>
|
||||||
|
<div className="col-md-3">
|
||||||
|
<input
|
||||||
|
name="entitaet"
|
||||||
|
defaultValue={entitaet ?? ""}
|
||||||
|
className="form-control"
|
||||||
|
placeholder="Entität, z. B. Host"
|
||||||
|
aria-label="Entität"
|
||||||
|
/>
|
||||||
|
</div>
|
||||||
|
<div className="col-md-2">
|
||||||
|
<button type="submit" className="btn btn-primary w-100">
|
||||||
|
Filtern
|
||||||
|
</button>
|
||||||
|
</div>
|
||||||
|
<div className="col-md-3 d-flex align-items-center">
|
||||||
|
{aktion || entitaet ? <Link href="/einstellungen/audit">Filter zurücksetzen</Link> : null}
|
||||||
|
</div>
|
||||||
|
</form>
|
||||||
|
|
||||||
|
<div className="table-responsive">
|
||||||
|
<table className="table table-striped align-middle">
|
||||||
|
<thead>
|
||||||
|
<tr>
|
||||||
|
<th scope="col">Zeitpunkt</th>
|
||||||
|
<th scope="col">Aktion</th>
|
||||||
|
<th scope="col">Entität</th>
|
||||||
|
<th scope="col">Benutzer</th>
|
||||||
|
<th scope="col">Details</th>
|
||||||
|
</tr>
|
||||||
|
</thead>
|
||||||
|
<tbody>
|
||||||
|
{eintraege.map((eintrag) => (
|
||||||
|
<tr key={eintrag.id}>
|
||||||
|
<td className="small">{formatDatumZeit(eintrag.erstelltAm)}</td>
|
||||||
|
<td className="pl-mono small">{eintrag.aktion}</td>
|
||||||
|
<td className="small">
|
||||||
|
{eintrag.entitaet}
|
||||||
|
{eintrag.entitaetId ? (
|
||||||
|
<div className="text-body-secondary pl-mono">{eintrag.entitaetId}</div>
|
||||||
|
) : null}
|
||||||
|
</td>
|
||||||
|
<td className="small">{eintrag.benutzer?.name ?? "System"}</td>
|
||||||
|
<td className="small text-body-secondary" style={{ maxWidth: "28rem" }}>
|
||||||
|
<span className="d-inline-block text-truncate w-100">
|
||||||
|
{eintrag.aenderung ? JSON.stringify(eintrag.aenderung) : "–"}
|
||||||
|
</span>
|
||||||
|
</td>
|
||||||
|
</tr>
|
||||||
|
))}
|
||||||
|
{eintraege.length === 0 ? (
|
||||||
|
<tr>
|
||||||
|
<td colSpan={5} className="text-center text-body-secondary py-4">
|
||||||
|
Keine Einträge gefunden.
|
||||||
|
</td>
|
||||||
|
</tr>
|
||||||
|
) : null}
|
||||||
|
</tbody>
|
||||||
|
</table>
|
||||||
|
</div>
|
||||||
|
</Card>
|
||||||
|
</div>
|
||||||
|
</div>
|
||||||
|
</>
|
||||||
|
);
|
||||||
|
}
|
||||||
@@ -1,6 +1,9 @@
|
|||||||
|
import { cookies } from "next/headers";
|
||||||
|
import { redirect } from "next/navigation";
|
||||||
import { Footer } from "@/components/layout/Footer";
|
import { Footer } from "@/components/layout/Footer";
|
||||||
import { Header } from "@/components/layout/Header";
|
import { Header } from "@/components/layout/Header";
|
||||||
import { Sidebar } from "@/components/layout/Sidebar";
|
import { Sidebar } from "@/components/layout/Sidebar";
|
||||||
|
import { SITZUNGS_COOKIE, sitzungLesen } from "@/lib/sitzung";
|
||||||
import { kennzahlen, offeneAlerts, suchIndex } from "@/server/queries/hosts";
|
import { kennzahlen, offeneAlerts, suchIndex } from "@/server/queries/hosts";
|
||||||
|
|
||||||
/**
|
/**
|
||||||
@@ -9,9 +12,11 @@ import { kennzahlen, offeneAlerts, suchIndex } from "@/server/queries/hosts";
|
|||||||
*/
|
*/
|
||||||
export const dynamic = "force-dynamic";
|
export const dynamic = "force-dynamic";
|
||||||
|
|
||||||
const BENUTZER = "Florian";
|
|
||||||
|
|
||||||
export default async function DashboardLayout({ children }: { children: React.ReactNode }) {
|
export default async function DashboardLayout({ children }: { children: React.ReactNode }) {
|
||||||
|
// Der Schutz liegt in proxy.ts; hier wird zusätzlich geprüft, damit kein Zustand ohne Benutzer entsteht.
|
||||||
|
const sitzung = await sitzungLesen((await cookies()).get(SITZUNGS_COOKIE)?.value);
|
||||||
|
if (!sitzung) redirect("/login");
|
||||||
|
|
||||||
const [zahlen, alerts, suche] = await Promise.all([kennzahlen(), offeneAlerts(), suchIndex()]);
|
const [zahlen, alerts, suche] = await Promise.all([kennzahlen(), offeneAlerts(), suchIndex()]);
|
||||||
|
|
||||||
return (
|
return (
|
||||||
@@ -25,13 +30,13 @@ export default async function DashboardLayout({ children }: { children: React.Re
|
|||||||
hostId: alert.hostId,
|
hostId: alert.hostId,
|
||||||
}))}
|
}))}
|
||||||
suchEintraege={suche}
|
suchEintraege={suche}
|
||||||
benutzer={BENUTZER}
|
benutzer={sitzung.name}
|
||||||
/>
|
/>
|
||||||
<Sidebar
|
<Sidebar
|
||||||
hostsAnzahl={zahlen.hostsGesamt}
|
hostsAnzahl={zahlen.hostsGesamt}
|
||||||
offeneRechnungspunkte={zahlen.offeneRechnungspunkte}
|
offeneRechnungspunkte={zahlen.offeneRechnungspunkte}
|
||||||
offeneWarnungen={zahlen.offeneAlerts}
|
offeneWarnungen={zahlen.offeneAlerts}
|
||||||
benutzer={BENUTZER}
|
benutzer={sitzung.name}
|
||||||
/>
|
/>
|
||||||
<main className="app-main">{children}</main>
|
<main className="app-main">{children}</main>
|
||||||
<Footer />
|
<Footer />
|
||||||
|
|||||||
@@ -0,0 +1,10 @@
|
|||||||
|
import { cookies } from "next/headers";
|
||||||
|
import { SITZUNGS_COOKIE } from "@/lib/sitzung";
|
||||||
|
|
||||||
|
export const dynamic = "force-dynamic";
|
||||||
|
|
||||||
|
/** Abmelden per Link; löscht das Sitzungs-Cookie. */
|
||||||
|
export async function GET(request: Request) {
|
||||||
|
(await cookies()).delete(SITZUNGS_COOKIE);
|
||||||
|
return Response.redirect(new URL("/login", request.url), 302);
|
||||||
|
}
|
||||||
@@ -0,0 +1,41 @@
|
|||||||
|
import { cookies } from "next/headers";
|
||||||
|
import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
|
||||||
|
import { mitOidcAnmelden } from "@/server/auth/benutzer";
|
||||||
|
import { anmeldungAbschliessen, oidcEinstellungen } from "@/server/auth/oidc";
|
||||||
|
|
||||||
|
export const dynamic = "force-dynamic";
|
||||||
|
|
||||||
|
/** Nimmt die Rückkehr vom Anmeldedienst entgegen und legt die Sitzung an. */
|
||||||
|
export async function GET(request: Request) {
|
||||||
|
const einstellungen = oidcEinstellungen();
|
||||||
|
const speicher = await cookies();
|
||||||
|
const pruefwert = speicher.get("pl_oidc_pruefwert")?.value;
|
||||||
|
const zustand = speicher.get("pl_oidc_zustand")?.value;
|
||||||
|
const ziel = speicher.get("pl_oidc_ziel")?.value ?? "/";
|
||||||
|
|
||||||
|
for (const name of ["pl_oidc_pruefwert", "pl_oidc_zustand", "pl_oidc_ziel"]) {
|
||||||
|
speicher.delete(name);
|
||||||
|
}
|
||||||
|
|
||||||
|
if (!einstellungen || !pruefwert || !zustand) {
|
||||||
|
return Response.redirect(new URL("/login?fehler=oidc", request.url), 302);
|
||||||
|
}
|
||||||
|
|
||||||
|
try {
|
||||||
|
const angaben = await anmeldungAbschliessen(einstellungen, new URL(request.url), pruefwert, zustand);
|
||||||
|
const benutzer = await mitOidcAnmelden(angaben.subject, angaben.email, angaben.name);
|
||||||
|
|
||||||
|
const token = await sitzungErzeugen({
|
||||||
|
benutzerId: benutzer.id,
|
||||||
|
email: benutzer.email,
|
||||||
|
name: benutzer.name,
|
||||||
|
herkunft: "oidc",
|
||||||
|
});
|
||||||
|
speicher.set(SITZUNGS_COOKIE, token, cookieOptionen());
|
||||||
|
|
||||||
|
return Response.redirect(new URL(ziel.startsWith("/") ? ziel : "/", request.url), 302);
|
||||||
|
} catch (fehler) {
|
||||||
|
console.error("OIDC-Rückkehr fehlgeschlagen:", fehler);
|
||||||
|
return Response.redirect(new URL("/login?fehler=oidc", request.url), 302);
|
||||||
|
}
|
||||||
|
}
|
||||||
@@ -0,0 +1,35 @@
|
|||||||
|
import { cookies } from "next/headers";
|
||||||
|
import { anmeldungStarten, oidcEinstellungen } from "@/server/auth/oidc";
|
||||||
|
|
||||||
|
export const dynamic = "force-dynamic";
|
||||||
|
|
||||||
|
/** Schickt den Browser zum Anmeldedienst und merkt sich PKCE-Prüfwert und Zustand im Cookie. */
|
||||||
|
export async function GET(request: Request) {
|
||||||
|
const einstellungen = oidcEinstellungen();
|
||||||
|
if (!einstellungen) {
|
||||||
|
return Response.redirect(new URL("/login?fehler=oidc", request.url), 302);
|
||||||
|
}
|
||||||
|
|
||||||
|
const ziel = new URL(request.url).searchParams.get("ziel") ?? "/";
|
||||||
|
|
||||||
|
try {
|
||||||
|
const start = await anmeldungStarten(einstellungen);
|
||||||
|
const speicher = await cookies();
|
||||||
|
const optionen = {
|
||||||
|
httpOnly: true,
|
||||||
|
sameSite: "lax" as const,
|
||||||
|
secure: process.env.NODE_ENV === "production",
|
||||||
|
path: "/",
|
||||||
|
maxAge: 600,
|
||||||
|
};
|
||||||
|
|
||||||
|
speicher.set("pl_oidc_pruefwert", start.pruefwert, optionen);
|
||||||
|
speicher.set("pl_oidc_zustand", start.zustand, optionen);
|
||||||
|
speicher.set("pl_oidc_ziel", ziel.startsWith("/") ? ziel : "/", optionen);
|
||||||
|
|
||||||
|
return Response.redirect(start.url, 302);
|
||||||
|
} catch (fehler) {
|
||||||
|
console.error("OIDC-Start fehlgeschlagen:", fehler);
|
||||||
|
return Response.redirect(new URL("/login?fehler=oidc", request.url), 302);
|
||||||
|
}
|
||||||
|
}
|
||||||
@@ -0,0 +1,55 @@
|
|||||||
|
"use client";
|
||||||
|
|
||||||
|
import { useActionState } from "react";
|
||||||
|
import { anmelden } from "@/server/actions/auth";
|
||||||
|
import type { AktionsErgebnis } from "@/server/actions/kunden";
|
||||||
|
|
||||||
|
const LEER: AktionsErgebnis = {};
|
||||||
|
|
||||||
|
export function AnmeldeFormular({ ziel }: { ziel: string }) {
|
||||||
|
const [ergebnis, aktion, laeuft] = useActionState(anmelden, LEER);
|
||||||
|
|
||||||
|
return (
|
||||||
|
<form action={aktion}>
|
||||||
|
<input type="hidden" name="ziel" value={ziel} />
|
||||||
|
|
||||||
|
{ergebnis.fehler ? (
|
||||||
|
<div className="alert alert-danger py-2" role="alert">
|
||||||
|
{ergebnis.fehler}
|
||||||
|
</div>
|
||||||
|
) : null}
|
||||||
|
|
||||||
|
<div className="mb-3">
|
||||||
|
<label className="form-label" htmlFor="email">
|
||||||
|
E-Mail-Adresse
|
||||||
|
</label>
|
||||||
|
<input
|
||||||
|
id="email"
|
||||||
|
name="email"
|
||||||
|
type="email"
|
||||||
|
className="form-control"
|
||||||
|
autoComplete="username"
|
||||||
|
required
|
||||||
|
/>
|
||||||
|
</div>
|
||||||
|
|
||||||
|
<div className="mb-3">
|
||||||
|
<label className="form-label" htmlFor="passwort">
|
||||||
|
Passwort
|
||||||
|
</label>
|
||||||
|
<input
|
||||||
|
id="passwort"
|
||||||
|
name="passwort"
|
||||||
|
type="password"
|
||||||
|
className="form-control"
|
||||||
|
autoComplete="current-password"
|
||||||
|
required
|
||||||
|
/>
|
||||||
|
</div>
|
||||||
|
|
||||||
|
<button type="submit" className="btn btn-primary w-100 pl-touch-target" disabled={laeuft}>
|
||||||
|
{laeuft ? "Meldet an …" : "Anmelden"}
|
||||||
|
</button>
|
||||||
|
</form>
|
||||||
|
);
|
||||||
|
}
|
||||||
@@ -214,7 +214,9 @@ export function Header({
|
|||||||
<Link href="/einstellungen/system" className="dropdown-item">
|
<Link href="/einstellungen/system" className="dropdown-item">
|
||||||
Einstellungen
|
Einstellungen
|
||||||
</Link>
|
</Link>
|
||||||
<span className="dropdown-item text-body-secondary">Abmelden (ab #013)</span>
|
<a className="dropdown-item" href="/api/auth/abmelden">
|
||||||
|
Abmelden
|
||||||
|
</a>
|
||||||
</div>
|
</div>
|
||||||
</li>
|
</li>
|
||||||
</ul>
|
</ul>
|
||||||
|
|||||||
@@ -58,6 +58,7 @@ export function Sidebar({
|
|||||||
{ href: "/einstellungen/tokens", titel: "Agent-Tokens", icon: "bi-key" },
|
{ href: "/einstellungen/tokens", titel: "Agent-Tokens", icon: "bi-key" },
|
||||||
{ href: "/einstellungen/warnregeln", titel: "Warnregeln", icon: "bi-shield-exclamation" },
|
{ href: "/einstellungen/warnregeln", titel: "Warnregeln", icon: "bi-shield-exclamation" },
|
||||||
{ href: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen", icon: "bi-bell" },
|
{ href: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen", icon: "bi-bell" },
|
||||||
|
{ href: "/einstellungen/audit", titel: "Protokoll", icon: "bi-list-check" },
|
||||||
{ href: "/einstellungen/system", titel: "System", icon: "bi-sliders" },
|
{ href: "/einstellungen/system", titel: "System", icon: "bi-sliders" },
|
||||||
];
|
];
|
||||||
|
|
||||||
|
|||||||
@@ -0,0 +1,64 @@
|
|||||||
|
import { SignJWT, jwtVerify } from "jose";
|
||||||
|
|
||||||
|
/**
|
||||||
|
* Sitzungen als signiertes Token im Cookie – kein Serverzustand nötig.
|
||||||
|
* Der Schlüssel kommt aus `APP_SECRET`; ohne ihn startet die Anmeldung nicht.
|
||||||
|
*/
|
||||||
|
|
||||||
|
export const SITZUNGS_COOKIE = "pl_sitzung";
|
||||||
|
export const SITZUNGSDAUER_STUNDEN = 12;
|
||||||
|
|
||||||
|
export interface Sitzung {
|
||||||
|
benutzerId: string;
|
||||||
|
email: string;
|
||||||
|
name: string;
|
||||||
|
/** Woher die Anmeldung stammt – für das Audit-Log und die Anzeige. */
|
||||||
|
herkunft: "passwort" | "oidc";
|
||||||
|
}
|
||||||
|
|
||||||
|
function schluessel(): Uint8Array {
|
||||||
|
const geheimnis = process.env.APP_SECRET;
|
||||||
|
if (!geheimnis || geheimnis.length < 32) {
|
||||||
|
throw new Error(
|
||||||
|
"APP_SECRET fehlt oder ist zu kurz (mindestens 32 Zeichen). Beispiel: openssl rand -base64 48",
|
||||||
|
);
|
||||||
|
}
|
||||||
|
return new TextEncoder().encode(geheimnis);
|
||||||
|
}
|
||||||
|
|
||||||
|
export async function sitzungErzeugen(sitzung: Sitzung): Promise<string> {
|
||||||
|
return new SignJWT({ ...sitzung })
|
||||||
|
.setProtectedHeader({ alg: "HS256" })
|
||||||
|
.setSubject(sitzung.benutzerId)
|
||||||
|
.setIssuedAt()
|
||||||
|
.setIssuer("proxledger")
|
||||||
|
.setExpirationTime(`${SITZUNGSDAUER_STUNDEN}h`)
|
||||||
|
.sign(schluessel());
|
||||||
|
}
|
||||||
|
|
||||||
|
/** Prüft das Token; bei ungültiger Signatur oder Ablauf kommt null zurück. */
|
||||||
|
export async function sitzungLesen(token: string | undefined): Promise<Sitzung | null> {
|
||||||
|
if (!token) return null;
|
||||||
|
try {
|
||||||
|
const { payload } = await jwtVerify(token, schluessel(), { issuer: "proxledger" });
|
||||||
|
if (typeof payload.benutzerId !== "string" || typeof payload.email !== "string") return null;
|
||||||
|
return {
|
||||||
|
benutzerId: payload.benutzerId,
|
||||||
|
email: payload.email,
|
||||||
|
name: typeof payload.name === "string" ? payload.name : payload.email,
|
||||||
|
herkunft: payload.herkunft === "oidc" ? "oidc" : "passwort",
|
||||||
|
};
|
||||||
|
} catch {
|
||||||
|
return null;
|
||||||
|
}
|
||||||
|
}
|
||||||
|
|
||||||
|
export function cookieOptionen() {
|
||||||
|
return {
|
||||||
|
httpOnly: true,
|
||||||
|
sameSite: "lax" as const,
|
||||||
|
secure: process.env.NODE_ENV === "production",
|
||||||
|
path: "/",
|
||||||
|
maxAge: SITZUNGSDAUER_STUNDEN * 3600,
|
||||||
|
};
|
||||||
|
}
|
||||||
@@ -0,0 +1,38 @@
|
|||||||
|
import { NextResponse, type NextRequest } from "next/server";
|
||||||
|
import { SITZUNGS_COOKIE, sitzungLesen } from "@/lib/sitzung";
|
||||||
|
|
||||||
|
/**
|
||||||
|
* Schützt die Oberfläche: Ohne gültige Sitzung führt jeder Weg zur Anmeldung.
|
||||||
|
* Die Agent-API bleibt bewusst außen vor – sie authentifiziert sich mit eigenen Tokens.
|
||||||
|
* (In Next 16 heißt diese Datei `proxy.ts`, früher `middleware.ts`.)
|
||||||
|
*/
|
||||||
|
|
||||||
|
const OEFFENTLICH = [
|
||||||
|
"/login",
|
||||||
|
"/api/auth",
|
||||||
|
"/api/agent",
|
||||||
|
"/install.sh",
|
||||||
|
"/agent.sh",
|
||||||
|
"/favicon.ico",
|
||||||
|
"/icon.svg",
|
||||||
|
];
|
||||||
|
|
||||||
|
export async function proxy(request: NextRequest) {
|
||||||
|
const pfad = request.nextUrl.pathname;
|
||||||
|
|
||||||
|
if (OEFFENTLICH.some((eintrag) => pfad === eintrag || pfad.startsWith(`${eintrag}/`))) {
|
||||||
|
return NextResponse.next();
|
||||||
|
}
|
||||||
|
|
||||||
|
const sitzung = await sitzungLesen(request.cookies.get(SITZUNGS_COOKIE)?.value);
|
||||||
|
if (sitzung) return NextResponse.next();
|
||||||
|
|
||||||
|
const ziel = new URL("/login", request.url);
|
||||||
|
if (pfad !== "/") ziel.searchParams.set("ziel", `${pfad}${request.nextUrl.search}`);
|
||||||
|
return NextResponse.redirect(ziel);
|
||||||
|
}
|
||||||
|
|
||||||
|
export const config = {
|
||||||
|
// Statische Dateien und Bilder brauchen keine Prüfung.
|
||||||
|
matcher: ["/((?!_next/static|_next/image|.*\\.(?:png|jpg|svg|ico|woff2)$).*)"],
|
||||||
|
};
|
||||||
@@ -0,0 +1,47 @@
|
|||||||
|
"use server";
|
||||||
|
|
||||||
|
import { cookies, headers } from "next/headers";
|
||||||
|
import { redirect } from "next/navigation";
|
||||||
|
import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
|
||||||
|
import { clientIp } from "@/lib/ratelimit";
|
||||||
|
import { protokolliere } from "@/server/audit";
|
||||||
|
import { AnmeldeFehler, mitPasswortAnmelden } from "@/server/auth/benutzer";
|
||||||
|
import type { AktionsErgebnis } from "./kunden";
|
||||||
|
|
||||||
|
/** Anmeldung mit E-Mail und Passwort (Rückfallweg, wenn OIDC nicht erreichbar ist). */
|
||||||
|
export async function anmelden(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
|
||||||
|
const email = formular.get("email")?.toString().trim() ?? "";
|
||||||
|
const passwort = formular.get("passwort")?.toString() ?? "";
|
||||||
|
const ziel = formular.get("ziel")?.toString() || "/";
|
||||||
|
|
||||||
|
if (!email || !passwort) {
|
||||||
|
return { fehler: "Bitte E-Mail-Adresse und Passwort eingeben." };
|
||||||
|
}
|
||||||
|
|
||||||
|
try {
|
||||||
|
const kopfzeilen = await headers();
|
||||||
|
const benutzer = await mitPasswortAnmelden(email, passwort, clientIp(kopfzeilen));
|
||||||
|
|
||||||
|
const token = await sitzungErzeugen({
|
||||||
|
benutzerId: benutzer.id,
|
||||||
|
email: benutzer.email,
|
||||||
|
name: benutzer.name,
|
||||||
|
herkunft: "passwort",
|
||||||
|
});
|
||||||
|
|
||||||
|
(await cookies()).set(SITZUNGS_COOKIE, token, cookieOptionen());
|
||||||
|
} catch (fehler) {
|
||||||
|
if (fehler instanceof AnmeldeFehler) return { fehler: fehler.message };
|
||||||
|
throw fehler;
|
||||||
|
}
|
||||||
|
|
||||||
|
// Nur eigene Pfade als Ziel zulassen, damit die Anmeldung nicht auf fremde Seiten führt.
|
||||||
|
redirect(ziel.startsWith("/") && !ziel.startsWith("//") ? ziel : "/");
|
||||||
|
}
|
||||||
|
|
||||||
|
export async function abmelden() {
|
||||||
|
const speicher = await cookies();
|
||||||
|
speicher.delete(SITZUNGS_COOKIE);
|
||||||
|
await protokolliere("abmeldung", "Benutzer", null, {});
|
||||||
|
redirect("/login");
|
||||||
|
}
|
||||||
+17
-2
@@ -1,17 +1,32 @@
|
|||||||
|
import { cookies } from "next/headers";
|
||||||
import { prisma } from "@/lib/db";
|
import { prisma } from "@/lib/db";
|
||||||
|
import { SITZUNGS_COOKIE, sitzungLesen } from "@/lib/sitzung";
|
||||||
|
|
||||||
/**
|
/**
|
||||||
* Schreibt einen Eintrag ins Audit-Log. Solange es keine Anmeldung gibt (#013),
|
* Schreibt einen Eintrag ins Audit-Log. Läuft die Aktion in einer Anfrage, wird der angemeldete
|
||||||
* bleibt `benutzerId` leer und die Änderung gilt als vom System ausgelöst.
|
* Benutzer vermerkt; im Worker oder in Skripten bleibt das Feld leer („System“).
|
||||||
*/
|
*/
|
||||||
|
async function angemeldeterBenutzer(): Promise<string | null> {
|
||||||
|
try {
|
||||||
|
const sitzung = await sitzungLesen((await cookies()).get(SITZUNGS_COOKIE)?.value);
|
||||||
|
return sitzung?.benutzerId ?? null;
|
||||||
|
} catch {
|
||||||
|
// Außerhalb einer Anfrage gibt es keine Cookies – das ist kein Fehler.
|
||||||
|
return null;
|
||||||
|
}
|
||||||
|
}
|
||||||
|
|
||||||
export async function protokolliere(
|
export async function protokolliere(
|
||||||
aktion: string,
|
aktion: string,
|
||||||
entitaet: string,
|
entitaet: string,
|
||||||
entitaetId: string | null,
|
entitaetId: string | null,
|
||||||
aenderung?: Record<string, unknown>,
|
aenderung?: Record<string, unknown>,
|
||||||
) {
|
) {
|
||||||
|
const benutzerId = await angemeldeterBenutzer();
|
||||||
|
|
||||||
await prisma.auditEintrag.create({
|
await prisma.auditEintrag.create({
|
||||||
data: {
|
data: {
|
||||||
|
benutzerId,
|
||||||
aktion,
|
aktion,
|
||||||
entitaet,
|
entitaet,
|
||||||
entitaetId,
|
entitaetId,
|
||||||
|
|||||||
@@ -0,0 +1,77 @@
|
|||||||
|
import { verify } from "@node-rs/argon2";
|
||||||
|
import type { BenutzerModel } from "@/generated/prisma/models";
|
||||||
|
import { prisma } from "@/lib/db";
|
||||||
|
import { RateLimit } from "@/lib/ratelimit";
|
||||||
|
import { protokolliere } from "@/server/audit";
|
||||||
|
|
||||||
|
/** Anmeldeversuche: fünf pro Viertelstunde je Kennung, damit Raten teuer wird. */
|
||||||
|
export const anmeldeRateLimit = new RateLimit(5, 5 / 900);
|
||||||
|
|
||||||
|
export class AnmeldeFehler extends Error {}
|
||||||
|
|
||||||
|
/** Prüft E-Mail und Passwort. Fehlermeldungen verraten bewusst nicht, welcher Teil falsch war. */
|
||||||
|
export async function mitPasswortAnmelden(
|
||||||
|
email: string,
|
||||||
|
passwort: string,
|
||||||
|
quelle: string,
|
||||||
|
): Promise<BenutzerModel> {
|
||||||
|
const kennung = `${quelle}:${email.toLowerCase()}`;
|
||||||
|
if (!anmeldeRateLimit.pruefe(kennung).erlaubt) {
|
||||||
|
throw new AnmeldeFehler("Zu viele Versuche. Bitte einige Minuten warten.");
|
||||||
|
}
|
||||||
|
|
||||||
|
const benutzer = await prisma.benutzer.findUnique({ where: { email: email.toLowerCase().trim() } });
|
||||||
|
|
||||||
|
if (!benutzer?.passwortHash || !benutzer.aktiv) {
|
||||||
|
await protokolliere("anmeldung.fehlgeschlagen", "Benutzer", benutzer?.id ?? null, { email });
|
||||||
|
throw new AnmeldeFehler("E-Mail-Adresse oder Passwort stimmt nicht.");
|
||||||
|
}
|
||||||
|
|
||||||
|
const stimmt = await verify(benutzer.passwortHash, passwort).catch(() => false);
|
||||||
|
if (!stimmt) {
|
||||||
|
await protokolliere("anmeldung.fehlgeschlagen", "Benutzer", benutzer.id, { email });
|
||||||
|
throw new AnmeldeFehler("E-Mail-Adresse oder Passwort stimmt nicht.");
|
||||||
|
}
|
||||||
|
|
||||||
|
await prisma.benutzer.update({ where: { id: benutzer.id }, data: { letzterLoginAm: new Date() } });
|
||||||
|
await protokolliere("anmeldung.erfolgreich", "Benutzer", benutzer.id, { weg: "passwort" });
|
||||||
|
|
||||||
|
return benutzer;
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* Ordnet eine OIDC-Anmeldung einem Benutzer zu: erst über die Subject-ID, sonst über die E-Mail.
|
||||||
|
* Ein unbekanntes Konto wird angelegt – wer sich bei authentik anmelden darf, darf auch hier arbeiten.
|
||||||
|
*/
|
||||||
|
export async function mitOidcAnmelden(subject: string, email: string, name: string): Promise<BenutzerModel> {
|
||||||
|
const normalisiert = email.toLowerCase().trim();
|
||||||
|
|
||||||
|
const vorhanden =
|
||||||
|
(await prisma.benutzer.findUnique({ where: { oidcSubject: subject } })) ??
|
||||||
|
(await prisma.benutzer.findUnique({ where: { email: normalisiert } }));
|
||||||
|
|
||||||
|
if (vorhanden && !vorhanden.aktiv) {
|
||||||
|
throw new AnmeldeFehler("Dieses Konto ist deaktiviert.");
|
||||||
|
}
|
||||||
|
|
||||||
|
const benutzer = vorhanden
|
||||||
|
? await prisma.benutzer.update({
|
||||||
|
where: { id: vorhanden.id },
|
||||||
|
data: { oidcSubject: subject, name: name || vorhanden.name, letzterLoginAm: new Date() },
|
||||||
|
})
|
||||||
|
: await prisma.benutzer.create({
|
||||||
|
data: {
|
||||||
|
email: normalisiert,
|
||||||
|
name: name || normalisiert,
|
||||||
|
oidcSubject: subject,
|
||||||
|
letzterLoginAm: new Date(),
|
||||||
|
},
|
||||||
|
});
|
||||||
|
|
||||||
|
await protokolliere("anmeldung.erfolgreich", "Benutzer", benutzer.id, {
|
||||||
|
weg: "oidc",
|
||||||
|
neuAngelegt: vorhanden === null,
|
||||||
|
});
|
||||||
|
|
||||||
|
return benutzer;
|
||||||
|
}
|
||||||
@@ -0,0 +1,100 @@
|
|||||||
|
import * as client from "openid-client";
|
||||||
|
|
||||||
|
/**
|
||||||
|
* Anmeldung über OIDC (getestet mit authentik). Die Einrichtung erfolgt über Umgebungsvariablen,
|
||||||
|
* damit Zugangsdaten nicht in der Datenbank liegen.
|
||||||
|
*/
|
||||||
|
|
||||||
|
export interface OidcEinstellungen {
|
||||||
|
ausstellerUrl: string;
|
||||||
|
clientId: string;
|
||||||
|
clientSecret: string;
|
||||||
|
/** Anzeigename auf dem Anmeldeknopf. */
|
||||||
|
bezeichnung: string;
|
||||||
|
}
|
||||||
|
|
||||||
|
export function oidcEinstellungen(): OidcEinstellungen | null {
|
||||||
|
const ausstellerUrl = process.env.OIDC_ISSUER;
|
||||||
|
const clientId = process.env.OIDC_CLIENT_ID;
|
||||||
|
const clientSecret = process.env.OIDC_CLIENT_SECRET;
|
||||||
|
|
||||||
|
if (!ausstellerUrl || !clientId || !clientSecret) return null;
|
||||||
|
|
||||||
|
return {
|
||||||
|
ausstellerUrl,
|
||||||
|
clientId,
|
||||||
|
clientSecret,
|
||||||
|
bezeichnung: process.env.OIDC_NAME ?? "authentik",
|
||||||
|
};
|
||||||
|
}
|
||||||
|
|
||||||
|
export function rueckkehrAdresse(): string {
|
||||||
|
const basis = (process.env.APP_URL ?? "http://localhost:3000").replace(/\/$/, "");
|
||||||
|
return `${basis}/api/auth/oidc/callback`;
|
||||||
|
}
|
||||||
|
|
||||||
|
async function konfiguration(einstellungen: OidcEinstellungen) {
|
||||||
|
return client.discovery(
|
||||||
|
new URL(einstellungen.ausstellerUrl),
|
||||||
|
einstellungen.clientId,
|
||||||
|
einstellungen.clientSecret,
|
||||||
|
);
|
||||||
|
}
|
||||||
|
|
||||||
|
export interface AnmeldeStart {
|
||||||
|
url: string;
|
||||||
|
pruefwert: string;
|
||||||
|
zustand: string;
|
||||||
|
}
|
||||||
|
|
||||||
|
/** Baut die Adresse beim Anbieter samt PKCE-Prüfwert. */
|
||||||
|
export async function anmeldungStarten(einstellungen: OidcEinstellungen): Promise<AnmeldeStart> {
|
||||||
|
const konfig = await konfiguration(einstellungen);
|
||||||
|
const pruefwert = client.randomPKCECodeVerifier();
|
||||||
|
const herausforderung = await client.calculatePKCECodeChallenge(pruefwert);
|
||||||
|
const zustand = client.randomState();
|
||||||
|
|
||||||
|
const url = client.buildAuthorizationUrl(konfig, {
|
||||||
|
redirect_uri: rueckkehrAdresse(),
|
||||||
|
scope: "openid email profile",
|
||||||
|
code_challenge: herausforderung,
|
||||||
|
code_challenge_method: "S256",
|
||||||
|
state: zustand,
|
||||||
|
});
|
||||||
|
|
||||||
|
return { url: url.href, pruefwert, zustand };
|
||||||
|
}
|
||||||
|
|
||||||
|
export interface OidcBenutzer {
|
||||||
|
subject: string;
|
||||||
|
email: string;
|
||||||
|
name: string;
|
||||||
|
}
|
||||||
|
|
||||||
|
/** Löst den Rückkehr-Code beim Anbieter ein und liest die Benutzerangaben. */
|
||||||
|
export async function anmeldungAbschliessen(
|
||||||
|
einstellungen: OidcEinstellungen,
|
||||||
|
aktuelleUrl: URL,
|
||||||
|
pruefwert: string,
|
||||||
|
zustand: string,
|
||||||
|
): Promise<OidcBenutzer> {
|
||||||
|
const konfig = await konfiguration(einstellungen);
|
||||||
|
|
||||||
|
const tokens = await client.authorizationCodeGrant(konfig, aktuelleUrl, {
|
||||||
|
pkceCodeVerifier: pruefwert,
|
||||||
|
expectedState: zustand,
|
||||||
|
});
|
||||||
|
|
||||||
|
const angaben = tokens.claims();
|
||||||
|
if (!angaben?.sub) throw new Error("Der Anbieter hat keine Benutzerkennung geliefert.");
|
||||||
|
|
||||||
|
const email = typeof angaben.email === "string" ? angaben.email : "";
|
||||||
|
if (!email) throw new Error("Der Anbieter hat keine E-Mail-Adresse geliefert.");
|
||||||
|
|
||||||
|
const name =
|
||||||
|
(typeof angaben.name === "string" && angaben.name) ||
|
||||||
|
(typeof angaben.preferred_username === "string" && angaben.preferred_username) ||
|
||||||
|
email;
|
||||||
|
|
||||||
|
return { subject: angaben.sub, email, name };
|
||||||
|
}
|
||||||
@@ -0,0 +1,156 @@
|
|||||||
|
import { afterAll, beforeEach, describe, expect, it } from "vitest";
|
||||||
|
import { hash } from "@node-rs/argon2";
|
||||||
|
import { cookieOptionen, sitzungErzeugen, sitzungLesen } from "@/lib/sitzung";
|
||||||
|
import { AnmeldeFehler, anmeldeRateLimit, mitOidcAnmelden, mitPasswortAnmelden } from "@/server/auth/benutzer";
|
||||||
|
import { datenbankLeeren, datenbankVerfuegbar, testPrisma } from "./helpers/db";
|
||||||
|
|
||||||
|
const GEHEIMNIS = "test-geheimnis-mit-mindestens-32-zeichen!!";
|
||||||
|
|
||||||
|
describe("Sitzungen", () => {
|
||||||
|
beforeEach(() => {
|
||||||
|
process.env.APP_SECRET = GEHEIMNIS;
|
||||||
|
});
|
||||||
|
|
||||||
|
it("erzeugt ein Token und liest es wieder", async () => {
|
||||||
|
const token = await sitzungErzeugen({
|
||||||
|
benutzerId: "b1",
|
||||||
|
email: "admin@example.de",
|
||||||
|
name: "Florian",
|
||||||
|
herkunft: "passwort",
|
||||||
|
});
|
||||||
|
|
||||||
|
const sitzung = await sitzungLesen(token);
|
||||||
|
expect(sitzung).toEqual({
|
||||||
|
benutzerId: "b1",
|
||||||
|
email: "admin@example.de",
|
||||||
|
name: "Florian",
|
||||||
|
herkunft: "passwort",
|
||||||
|
});
|
||||||
|
});
|
||||||
|
|
||||||
|
it("weist ein verändertes oder fremd signiertes Token ab", async () => {
|
||||||
|
const token = await sitzungErzeugen({
|
||||||
|
benutzerId: "b1",
|
||||||
|
email: "admin@example.de",
|
||||||
|
name: "Florian",
|
||||||
|
herkunft: "passwort",
|
||||||
|
});
|
||||||
|
|
||||||
|
expect(await sitzungLesen(`${token}x`)).toBeNull();
|
||||||
|
|
||||||
|
process.env.APP_SECRET = "ein-ganz-anderes-geheimnis-mit-32-zeichen!";
|
||||||
|
expect(await sitzungLesen(token)).toBeNull();
|
||||||
|
});
|
||||||
|
|
||||||
|
it("gibt bei fehlendem Token null zurück", async () => {
|
||||||
|
expect(await sitzungLesen(undefined)).toBeNull();
|
||||||
|
expect(await sitzungLesen("")).toBeNull();
|
||||||
|
});
|
||||||
|
|
||||||
|
it("verlangt einen ausreichend langen Schlüssel", async () => {
|
||||||
|
process.env.APP_SECRET = "zu-kurz";
|
||||||
|
await expect(
|
||||||
|
sitzungErzeugen({ benutzerId: "b1", email: "a@b.de", name: "A", herkunft: "passwort" }),
|
||||||
|
).rejects.toThrow(/APP_SECRET/);
|
||||||
|
});
|
||||||
|
|
||||||
|
it("setzt das Cookie nur über HTTPS, wenn produktiv gebaut wurde", () => {
|
||||||
|
expect(cookieOptionen().httpOnly).toBe(true);
|
||||||
|
expect(cookieOptionen().sameSite).toBe("lax");
|
||||||
|
});
|
||||||
|
});
|
||||||
|
|
||||||
|
describe.runIf(datenbankVerfuegbar)("Anmeldung", () => {
|
||||||
|
beforeEach(async () => {
|
||||||
|
await datenbankLeeren();
|
||||||
|
anmeldeRateLimit.zuruecksetzen();
|
||||||
|
process.env.APP_SECRET = GEHEIMNIS;
|
||||||
|
});
|
||||||
|
|
||||||
|
afterAll(async () => {
|
||||||
|
await testPrisma.$disconnect();
|
||||||
|
});
|
||||||
|
|
||||||
|
async function admin(passwort = "geheim1234") {
|
||||||
|
return testPrisma.benutzer.create({
|
||||||
|
data: {
|
||||||
|
email: "admin@example.de",
|
||||||
|
name: "Florian",
|
||||||
|
passwortHash: await hash(passwort),
|
||||||
|
},
|
||||||
|
});
|
||||||
|
}
|
||||||
|
|
||||||
|
it("meldet mit richtigem Passwort an und vermerkt den Zeitpunkt", async () => {
|
||||||
|
const benutzer = await admin();
|
||||||
|
const angemeldet = await mitPasswortAnmelden("admin@example.de", "geheim1234", "1.2.3.4");
|
||||||
|
|
||||||
|
expect(angemeldet.id).toBe(benutzer.id);
|
||||||
|
const danach = await testPrisma.benutzer.findUniqueOrThrow({ where: { id: benutzer.id } });
|
||||||
|
expect(danach.letzterLoginAm).not.toBeNull();
|
||||||
|
|
||||||
|
const protokoll = await testPrisma.auditEintrag.findFirst({ where: { aktion: "anmeldung.erfolgreich" } });
|
||||||
|
expect(protokoll).not.toBeNull();
|
||||||
|
});
|
||||||
|
|
||||||
|
it("lehnt falsches Passwort ab und protokolliert den Versuch", async () => {
|
||||||
|
await admin();
|
||||||
|
await expect(mitPasswortAnmelden("admin@example.de", "falsch", "1.2.3.4")).rejects.toThrow(AnmeldeFehler);
|
||||||
|
|
||||||
|
const protokoll = await testPrisma.auditEintrag.findFirst({ where: { aktion: "anmeldung.fehlgeschlagen" } });
|
||||||
|
expect(protokoll).not.toBeNull();
|
||||||
|
});
|
||||||
|
|
||||||
|
it("nennt bei unbekannter Adresse denselben Grund wie bei falschem Passwort", async () => {
|
||||||
|
await admin();
|
||||||
|
const unbekannt = await mitPasswortAnmelden("niemand@example.de", "x", "1.2.3.4").catch((f) => f);
|
||||||
|
const falsch = await mitPasswortAnmelden("admin@example.de", "falsch", "1.2.3.4").catch((f) => f);
|
||||||
|
|
||||||
|
expect(unbekannt.message).toBe(falsch.message);
|
||||||
|
});
|
||||||
|
|
||||||
|
it("lehnt deaktivierte Konten ab", async () => {
|
||||||
|
const benutzer = await admin();
|
||||||
|
await testPrisma.benutzer.update({ where: { id: benutzer.id }, data: { aktiv: false } });
|
||||||
|
|
||||||
|
await expect(mitPasswortAnmelden("admin@example.de", "geheim1234", "1.2.3.4")).rejects.toThrow(
|
||||||
|
AnmeldeFehler,
|
||||||
|
);
|
||||||
|
});
|
||||||
|
|
||||||
|
it("bremst nach fünf Fehlversuchen", async () => {
|
||||||
|
await admin();
|
||||||
|
for (let i = 0; i < 5; i++) {
|
||||||
|
await mitPasswortAnmelden("admin@example.de", "falsch", "9.9.9.9").catch(() => undefined);
|
||||||
|
}
|
||||||
|
|
||||||
|
await expect(mitPasswortAnmelden("admin@example.de", "geheim1234", "9.9.9.9")).rejects.toThrow(
|
||||||
|
/Zu viele Versuche/,
|
||||||
|
);
|
||||||
|
});
|
||||||
|
|
||||||
|
it("verknüpft eine OIDC-Anmeldung mit dem vorhandenen Konto", async () => {
|
||||||
|
const benutzer = await admin();
|
||||||
|
const angemeldet = await mitOidcAnmelden("subject-1", "admin@example.de", "Florian Wilde");
|
||||||
|
|
||||||
|
expect(angemeldet.id).toBe(benutzer.id);
|
||||||
|
expect(angemeldet.oidcSubject).toBe("subject-1");
|
||||||
|
expect(await testPrisma.benutzer.count()).toBe(1);
|
||||||
|
});
|
||||||
|
|
||||||
|
it("legt bei unbekannter OIDC-Anmeldung ein Konto an", async () => {
|
||||||
|
const angemeldet = await mitOidcAnmelden("subject-2", "Neu@example.de", "Neue Person");
|
||||||
|
|
||||||
|
expect(angemeldet.email).toBe("neu@example.de");
|
||||||
|
expect(angemeldet.passwortHash).toBeNull();
|
||||||
|
expect(await testPrisma.benutzer.count()).toBe(1);
|
||||||
|
});
|
||||||
|
|
||||||
|
it("erkennt dieselbe Subject-ID wieder, auch wenn sich die E-Mail ändert", async () => {
|
||||||
|
const erst = await mitOidcAnmelden("subject-3", "alt@example.de", "Person");
|
||||||
|
const wieder = await mitOidcAnmelden("subject-3", "neu@example.de", "Person");
|
||||||
|
|
||||||
|
expect(wieder.id).toBe(erst.id);
|
||||||
|
expect(await testPrisma.benutzer.count()).toBe(1);
|
||||||
|
});
|
||||||
|
});
|
||||||
Reference in New Issue
Block a user