florian.wildeandClaude Opus 5
4f85e00016
- /setup fuehrt beim ersten Aufruf durch das Anlegen des Administratorkontos und die Wahl der Betriebsart. Der Endpunkt funktioniert nur, solange es keinen Benutzer gibt; danach kann sich niemand mehr nachtraeglich ein Adminkonto erschleichen. Vorhandene Projekte ohne Besitzer werden dabei uebernommen und im Formular vorher angekuendigt. - /login mit Passwort oder Passkey. Der Passkey-Knopf entfaellt, wenn APP_URL keinen sicheren Kontext ergibt - mit Hinweis, woran es liegt. Das Ziel nach der Anmeldung wird auf relative Pfade begrenzt, sonst waere der weiter-Parameter ein offener Redirect. - /register nur im Mehrbenutzerbetrieb und nur, wenn ein Administrator die Selbstregistrierung freigegeben hat. - Kopfzeile mit Benutzermenue: eigenes Konto, Admin-Einstellungen, Abmelden. Ohne Anmeldung bleibt sie auf das Logo reduziert. - Layout liest Titel und Namen ueber generateMetadata, damit APP_NAME zur Laufzeit greift statt beim Build eingefroren zu werden. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
55 lines
1.9 KiB
TypeScript
55 lines
1.9 KiB
TypeScript
import { NextResponse } from "next/server";
|
|
import type { AuthenticationResponseJSON } from "@simplewebauthn/server";
|
|
import { createSession, setSessionCookie } from "@/lib/auth/session";
|
|
import { noteSuccessfulLogin } from "@/lib/auth/users";
|
|
import { WebAuthnUnavailableError, confirmAuthentication } from "@/lib/auth/webauthn";
|
|
import { prisma } from "@/lib/db";
|
|
import { LIMITS, rateLimit } from "@/lib/security/rateLimit";
|
|
import { clientIp, jsonError, readJsonBody, tooManyRequests } from "@/lib/security/request";
|
|
|
|
export const dynamic = "force-dynamic";
|
|
|
|
interface Payload {
|
|
response?: AuthenticationResponseJSON;
|
|
}
|
|
|
|
export async function POST(request: Request) {
|
|
const ip = clientIp(request);
|
|
const limited = rateLimit(`passkey:login:${ip}`, LIMITS.login.limit, LIMITS.login.windowMs);
|
|
if (!limited.ok) return tooManyRequests(limited.retryAfter);
|
|
|
|
const body = await readJsonBody<Payload>(request);
|
|
if (!body.ok) return body.response;
|
|
|
|
const assertion = body.data?.response;
|
|
if (!assertion || typeof assertion !== "object") {
|
|
return jsonError("Die Antwort des Authenticators fehlt.", 400);
|
|
}
|
|
|
|
try {
|
|
const result = await confirmAuthentication(assertion);
|
|
|
|
const user = await prisma.user.findUnique({ where: { id: result.userId } });
|
|
if (!user || !user.isActive) {
|
|
return jsonError("Dieses Konto ist deaktiviert.", 403);
|
|
}
|
|
|
|
await noteSuccessfulLogin(user.id);
|
|
|
|
const session = await createSession(user.id, {
|
|
userAgent: request.headers.get("user-agent"),
|
|
ip,
|
|
});
|
|
|
|
const response = NextResponse.json({
|
|
ok: true,
|
|
user: { id: user.id, username: user.username, role: user.role },
|
|
});
|
|
setSessionCookie(response, session.token, session.expiresAt);
|
|
return response;
|
|
} catch (error) {
|
|
if (error instanceof WebAuthnUnavailableError) return jsonError(error.message, 501);
|
|
return jsonError(error instanceof Error ? error.message : String(error), 401);
|
|
}
|
|
}
|