florian.wildeandClaude Opus 5
ed77ffaed2
Bisher sah jede Anfrage alles. Jetzt traegt jede Abfrage eine Besitzerbedingung, und zwar an erster Stelle in der where-Klausel statt als nachtraeglicher Vergleich - so kann sie nicht versehentlich uebersprungen werden. - Lesen: findFirst statt findUnique, immer mit ownerId - Schreiben und Loeschen: updateMany/deleteMany mit ownerId in der where-Klausel. Fremde Datensaetze werden dadurch gar nicht erst getroffen, und die betroffene Zeilenzahl sagt, ob es den Datensatz gab. - Notizen haengen ueber project.ownerId am Besitzer - Beim Verknuepfen eines Projekts wird geprueft, dass die Git-Verbindung dem Aufrufer gehoert - sonst liesse sich eine fremde Verbindung und damit ein fremder Token unterschieben - Fremde IDs liefern 404 statt 403: die Antwort bestaetigt nicht einmal, dass es den Datensatz gibt - Ausgehende Endpunkte (Sync, Verbindungstest, Repo-Liste) zusaetzlich ratenbegrenzt, Basis-URLs gegen den SSRF-Schutz geprueft - Slug und Verbindungsname werden je Besitzer auf Eindeutigkeit geprueft Nachgewiesen: ein zweites Konto erhaelt auf GET, PATCH, DELETE, Notiz anlegen und Sync eines fremden Projekts durchgaengig 404, auf die Admin-Endpunkte 403, und das Zielprojekt bleibt unveraendert. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
44 lines
1.5 KiB
TypeScript
44 lines
1.5 KiB
TypeScript
import { NextResponse } from "next/server";
|
||
import { requireUserApi } from "@/lib/auth/guard";
|
||
import { prisma } from "@/lib/db";
|
||
import { projectDetailInclude } from "@/lib/projects";
|
||
import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
|
||
import { clientIp, jsonError, tooManyRequests } from "@/lib/security/request";
|
||
import { syncProject } from "@/lib/sync";
|
||
|
||
export const dynamic = "force-dynamic";
|
||
|
||
type Params = { params: Promise<{ id: string }> };
|
||
|
||
/** Holt Branches, Tags, Commits und Releases beim Git-System ab. */
|
||
export async function POST(request: Request, { params }: Params) {
|
||
const auth = await requireUserApi();
|
||
if (!auth.ok) return auth.response;
|
||
|
||
// Dieser Endpunkt loest ausgehende Verbindungen aus – hier wird enger
|
||
// begrenzt als bei reinen Datenbankzugriffen.
|
||
const limited = rateLimit(
|
||
`outbound:${auth.user.id}:${clientIp(request)}`,
|
||
LIMITS.outbound.limit,
|
||
LIMITS.outbound.windowMs,
|
||
);
|
||
if (!limited.ok) return tooManyRequests(limited.retryAfter);
|
||
|
||
const { id } = await params;
|
||
|
||
const owned = await prisma.project.findFirst({
|
||
where: { id, ownerId: auth.user.id },
|
||
select: { id: true },
|
||
});
|
||
if (!owned) return jsonError("Projekt nicht gefunden", 404);
|
||
|
||
const result = await syncProject(id);
|
||
|
||
const project = await prisma.project.findFirst({
|
||
where: { id, ownerId: auth.user.id },
|
||
include: projectDetailInclude,
|
||
});
|
||
|
||
return NextResponse.json({ ...result, project }, { status: result.ok ? 200 : 502 });
|
||
}
|