Florian Wilde
1e0d04d0db
S1 (hoch): Die OIDC-Rueckkehr verknuepft eine Identitaet mit einem bestehenden Konto nur bei bestaetigter E-Mail — geprueft wurde das auch, nur war die Bestaetigung als `email_verified !== false` berechnet. Damit galt auch ein fehlender Claim als bestaetigt, und genau den schicken manche Anbieter gar nicht. Jetzt zaehlt allein ein ausdrueckliches `true`. S2 (hoch): `isAuthEnabled()` verlangte den Wert "true"; alles andere hiess "aus". Eine vergessene Variable ergab eine Anwendung, in der jeder Besucher alles darf, und nichts sah danach aus. Umgedreht: Abgeschaltet wird nur, wer ausdruecklich "false" setzt. Die Vorgaben in Compose und .env.example stehen auf true, und der Container warnt beim Start mehrzeilig, solange die Anmeldung aus ist. S5 (mittel): Der OIDC-Bootstrap las `user.count()` und legte danach an — zwei gleichzeitige erste Anmeldungen konnten beide Administrator werden. Jetzt in einer serialisierbaren Transaktion, wie die lokale Ersteinrichtung es laengst tut. S6 (niedrig): Die Herkunftspruefung verglich nur den Host, nicht das Schema. Das Schema kommt jetzt aus BASE_URL — die eine Angabe zum Ursprung, ueber die der Aufrufer nicht mitbestimmt. S3, S4 und S7 bleiben offen und stehen begruendet in docs/sicherheit.md. Bei S3 wurde der naheliegende Ausweg geprueft und verworfen: Waehrend der Sperre weiter Passwoerter zu pruefen kostet 128 MiB je Versuch und tauschte eine Sperre gegen ein Konto gegen eine gegen alle. Refs #20
22 lines
902 B
Bash
Executable File
22 lines
902 B
Bash
Executable File
#!/bin/sh
|
|
# Startskript des App-Containers: erst Migrationen, dann der Server.
|
|
set -e
|
|
|
|
echo "→ Datenbankmigrationen werden angewendet …"
|
|
node /app/node_modules/prisma/build/index.js migrate deploy
|
|
|
|
# Eine Anwendung ohne Anmeldung sieht genauso aus wie eine mit — deshalb
|
|
# muss sie es sagen. Wer das hier im Protokoll sieht und nicht erwartet hat,
|
|
# soll sofort wissen, woran er ist.
|
|
if [ "$(printf '%s' "${AUTH_ENABLED:-}" | tr '[:upper:]' '[:lower:]')" = "false" ]; then
|
|
echo "" >&2
|
|
echo " !! ACHTUNG: AUTH_ENABLED=false — die Anwendung laeuft OHNE Anmeldung." >&2
|
|
echo " !! Jeder, der sie erreicht, darf alles: Verwaltung, Uploads, saemtliche" >&2
|
|
echo " !! Codes anlegen, aendern und loeschen. Das ist nur fuer Einzelplatz-" >&2
|
|
echo " !! oder LAN-Betrieb gedacht und gehoert nicht ins offene Netz." >&2
|
|
echo "" >&2
|
|
fi
|
|
|
|
echo "→ Anwendung wird gestartet …"
|
|
exec "$@"
|