florian.wildeandClaude Opus 5
2f45e33e20
Drei Rollen: Administrator, Techniker, Kunde. Jede der 28 Aktionen nennt das Recht, das sie verlangt; die Rechte stehen an einer Stelle. Kundenkonten haengen an genau einem Kunden und sehen nur dessen Hosts und Rechnungen - ohne Einkaufspreise und Marge. Die Einschraenkung sitzt in den Abfragen selbst, damit keine Seite vergessen kann, sie weiterzugeben; sechs Tests pruefen das. Dabei gefunden: Neu ueber OIDC angelegte Konten haetten die Vorgabe des Datenmodells geerbt - ADMIN. Jetzt gibt es dafuer eine Einstellung mit der Vorgabe Techniker. Passkeys (#028) als gleichwertiger, passwortloser Anmeldeweg neben Passwort und OIDC. Mehrere je Konto, Aufgabe in einem kurzlebigen Cookie, rpID aus der oeffentlichen Adresse. Ohne HTTPS sagt die Seite es, statt still zu scheitern. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
65 lines
2.3 KiB
TypeScript
65 lines
2.3 KiB
TypeScript
import { cookies } from "next/headers";
|
||
import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen, ueberHttps } from "@/lib/sitzung";
|
||
import { prisma } from "@/lib/db";
|
||
import { protokolliere } from "@/server/audit";
|
||
import { anmeldungPruefen, anmeldungVorbereiten, herkunft } from "@/server/auth/passkeys";
|
||
import { einstellungen } from "@/server/einstellungen";
|
||
|
||
export const dynamic = "force-dynamic";
|
||
|
||
const CHALLENGE_COOKIE = "pl_passkey_anmeldung";
|
||
|
||
function challengeOptionen() {
|
||
return {
|
||
httpOnly: true,
|
||
sameSite: "strict" as const,
|
||
secure: ueberHttps(),
|
||
path: "/",
|
||
maxAge: 300,
|
||
};
|
||
}
|
||
|
||
/** Schritt 1: Aufgabe für die Anmeldung erzeugen – ohne Benutzernamen, der Browser wählt den Schlüssel. */
|
||
export async function GET(request: Request) {
|
||
const optionen = await anmeldungVorbereiten(await herkunft(request));
|
||
(await cookies()).set(CHALLENGE_COOKIE, optionen.challenge, challengeOptionen());
|
||
return Response.json(optionen);
|
||
}
|
||
|
||
/** Schritt 2: Antwort prüfen und die Sitzung anlegen. */
|
||
export async function POST(request: Request) {
|
||
const speicher = await cookies();
|
||
const challenge = speicher.get(CHALLENGE_COOKIE)?.value;
|
||
if (!challenge) {
|
||
return Response.json({ fehler: "Die Aufgabe ist abgelaufen. Bitte erneut versuchen." }, { status: 400 });
|
||
}
|
||
|
||
try {
|
||
const antwort = await request.json();
|
||
const benutzer = await anmeldungPruefen(antwort, challenge, await herkunft(request));
|
||
|
||
const { sitzungsdauerStunden } = await einstellungen();
|
||
const token = await sitzungErzeugen(
|
||
{
|
||
benutzerId: benutzer.id,
|
||
email: benutzer.email,
|
||
name: benutzer.name,
|
||
herkunft: "passkey",
|
||
},
|
||
sitzungsdauerStunden,
|
||
);
|
||
speicher.set(SITZUNGS_COOKIE, token, cookieOptionen(sitzungsdauerStunden));
|
||
|
||
await prisma.benutzer.update({ where: { id: benutzer.id }, data: { letzterLoginAm: new Date() } });
|
||
await protokolliere("anmeldung.erfolgreich", "Benutzer", benutzer.id, { weg: "passkey" });
|
||
|
||
return Response.json({ erfolg: true });
|
||
} catch (fehler) {
|
||
console.error("Passkey-Anmeldung fehlgeschlagen:", fehler);
|
||
// Bewusst unscharf: Ob es den Passkey gibt, geht einen Unbekannten nichts an.
|
||
return Response.json({ fehler: "Anmeldung mit diesem Passkey nicht möglich." }, { status: 400 });
|
||
} finally {
|
||
speicher.delete(CHALLENGE_COOKIE);
|
||
}
|
||
}
|