florian.wildeandClaude Opus 5
ed77ffaed2
Bisher sah jede Anfrage alles. Jetzt traegt jede Abfrage eine Besitzerbedingung, und zwar an erster Stelle in der where-Klausel statt als nachtraeglicher Vergleich - so kann sie nicht versehentlich uebersprungen werden. - Lesen: findFirst statt findUnique, immer mit ownerId - Schreiben und Loeschen: updateMany/deleteMany mit ownerId in der where-Klausel. Fremde Datensaetze werden dadurch gar nicht erst getroffen, und die betroffene Zeilenzahl sagt, ob es den Datensatz gab. - Notizen haengen ueber project.ownerId am Besitzer - Beim Verknuepfen eines Projekts wird geprueft, dass die Git-Verbindung dem Aufrufer gehoert - sonst liesse sich eine fremde Verbindung und damit ein fremder Token unterschieben - Fremde IDs liefern 404 statt 403: die Antwort bestaetigt nicht einmal, dass es den Datensatz gibt - Ausgehende Endpunkte (Sync, Verbindungstest, Repo-Liste) zusaetzlich ratenbegrenzt, Basis-URLs gegen den SSRF-Schutz geprueft - Slug und Verbindungsname werden je Besitzer auf Eindeutigkeit geprueft Nachgewiesen: ein zweites Konto erhaelt auf GET, PATCH, DELETE, Notiz anlegen und Sync eines fremden Projekts durchgaengig 404, auf die Admin-Endpunkte 403, und das Zielprojekt bleibt unveraendert. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
69 lines
2.0 KiB
TypeScript
69 lines
2.0 KiB
TypeScript
import { NextResponse } from "next/server";
|
|
import { requireUserApi } from "@/lib/auth/guard";
|
|
import { prisma } from "@/lib/db";
|
|
import { jsonError, readJsonBody } from "@/lib/security/request";
|
|
import { formatZodError, noteCreateSchema } from "@/lib/validation";
|
|
|
|
export const dynamic = "force-dynamic";
|
|
|
|
type Params = { params: Promise<{ id: string }> };
|
|
|
|
/** Prueft in einem Zug Existenz und Besitz des Projekts. */
|
|
async function ownedProject(projectId: string, ownerId: string) {
|
|
return prisma.project.findFirst({
|
|
where: { id: projectId, ownerId },
|
|
select: { id: true },
|
|
});
|
|
}
|
|
|
|
export async function GET(_request: Request, { params }: Params) {
|
|
const auth = await requireUserApi();
|
|
if (!auth.ok) return auth.response;
|
|
|
|
const { id } = await params;
|
|
if (!(await ownedProject(id, auth.user.id))) {
|
|
return jsonError("Projekt nicht gefunden", 404);
|
|
}
|
|
|
|
const notes = await prisma.note.findMany({
|
|
where: { projectId: id },
|
|
orderBy: [{ pinned: "desc" }, { updatedAt: "desc" }],
|
|
});
|
|
return NextResponse.json({ notes });
|
|
}
|
|
|
|
export async function POST(request: Request, { params }: Params) {
|
|
const auth = await requireUserApi();
|
|
if (!auth.ok) return auth.response;
|
|
|
|
const { id } = await params;
|
|
if (!(await ownedProject(id, auth.user.id))) {
|
|
return jsonError("Projekt nicht gefunden", 404);
|
|
}
|
|
|
|
const body = await readJsonBody(request);
|
|
if (!body.ok) return body.response;
|
|
|
|
const parsed = noteCreateSchema.safeParse(body.data);
|
|
if (!parsed.success) {
|
|
return NextResponse.json(
|
|
{ error: "Validierung fehlgeschlagen", fields: formatZodError(parsed.error) },
|
|
{ status: 422 },
|
|
);
|
|
}
|
|
|
|
const note = await prisma.note.create({
|
|
data: {
|
|
projectId: id,
|
|
title: parsed.data.title ?? null,
|
|
content: parsed.data.content,
|
|
pinned: parsed.data.pinned,
|
|
},
|
|
});
|
|
|
|
// Projekt "anfassen", damit die Sortierung nach Aktivitaet stimmt.
|
|
await prisma.project.update({ where: { id }, data: { updatedAt: new Date() } });
|
|
|
|
return NextResponse.json({ note }, { status: 201 });
|
|
}
|