msolarczekandClaude Opus 4.8
d0821e2e10
Eigener Bereich /settings/users (verlinkt aus /settings), sichtbar nur mit
user:manage bzw. role:manage. Strikt mandantenintern (dbForTenant über die eigene
Session) — kein Cross-Tenant-Zugriff. Audit-Scope: tenant.
- actions/tenant-users.ts:
- Benutzer (user:manage): createUser (Initial-/Einmal-Passwort, mustChangePassword),
resetUserPassword, setUserStatus (deaktivieren/reaktivieren), setUserRoles.
- Rollen (role:manage): createRole (+ Permissions), updateRolePermissions
(Standardrollen schreibgeschützt), cloneRole (Standard klonbar), deleteRole
(nur eigene, nur ohne zugewiesene Nutzer — sonst Umzug-Hinweis).
- Lockout-Schutz: letzter aktiver Mandanten-Admin kann nicht deaktiviert werden
und ihm kann die Admin-Rolle nicht entzogen werden.
- Komponenten tenant-users-manager.tsx (Benutzer) und role-manager.tsx (Rollen +
gruppierter Permission-Katalog); Bestands-UI/Dark-Theme wiederverwendet.
Browser-verifiziert: Mandanten-Admin sieht Benutzer + Rollen des eigenen Mandanten,
legt eine eigene Rolle „Externer Prüfer" mit ausgewählten Rechten an (asset:read,
audit:read, policy:read → korrekt gespeichert); Standardrollen als schreibgeschützt
markiert. tsc + lint + build + Guard-Check grün.
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
94 lines
3.6 KiB
TypeScript
94 lines
3.6 KiB
TypeScript
/**
|
|
* Vollständigkeitscheck der serverseitigen Modul-Durchsetzung (§3.4, Phase-1-Härtung).
|
|
*
|
|
* Jede mutierende Server-Action eines gegateten Moduls MUSS über einen
|
|
* `moduleGuard("<key>")`-Guard laufen (siehe src/server/action-guard.ts), damit ein
|
|
* für den Mandanten deaktiviertes Modul auch Writes serverseitig abweist.
|
|
*
|
|
* Dieses Script erzwingt das statisch: Es kennt die Zuordnung Action-Datei → Modul
|
|
* und schlägt fehl (Exit 1 → Build/Test rot), sobald
|
|
* - eine neue Action-Datei nicht zugeordnet ist ("vergessener Endpoint"),
|
|
* - eine gegatete Datei den erwarteten moduleGuard nicht verwendet, oder
|
|
* - eine exportierte Action nicht über `await guard(...)` läuft.
|
|
*
|
|
* Neue Action-Datei anlegen ⇒ hier eintragen (Modul-Key oder "EXEMPT").
|
|
*/
|
|
import { readdirSync, readFileSync } from "node:fs";
|
|
import { join, dirname } from "node:path";
|
|
import { fileURLToPath } from "node:url";
|
|
import { MODULE_KEYS } from "../src/lib/modules";
|
|
|
|
const ACTIONS_DIR = join(dirname(fileURLToPath(import.meta.url)), "..", "src", "server", "actions");
|
|
|
|
/** Zuordnung Action-Datei → Modul-Key. "EXEMPT" = kein gegatetes Fachmodul (eigene Auth). */
|
|
const ACTION_MODULE: Record<string, string> = {
|
|
"assets.ts": "assets",
|
|
"processes.ts": "bia",
|
|
"risks.ts": "risk",
|
|
"measures.ts": "measures",
|
|
"suppliers.ts": "suppliers",
|
|
"services.ts": "suppliers",
|
|
"policies.ts": "policies",
|
|
// Plattform-Betrieb (eigene Auth) und Kunden-Einstellungen (tenant:manage) sind
|
|
// keine per TenantModule gegateten Fachmodule — eigene Autorisierung, kein moduleGuard.
|
|
"admin.ts": "EXEMPT",
|
|
"platform.ts": "EXEMPT",
|
|
"platform-users.ts": "EXEMPT",
|
|
"tenant-users.ts": "EXEMPT",
|
|
"account.ts": "EXEMPT",
|
|
"tenant-settings.ts": "EXEMPT",
|
|
};
|
|
|
|
const errors: string[] = [];
|
|
const files = readdirSync(ACTIONS_DIR).filter((f) => f.endsWith(".ts"));
|
|
|
|
for (const file of files) {
|
|
const mapped = ACTION_MODULE[file];
|
|
if (!mapped) {
|
|
errors.push(
|
|
`Nicht zugeordnete Action-Datei: ${file} — in scripts/check-module-guards.ts eintragen (Modul-Key oder "EXEMPT").`
|
|
);
|
|
continue;
|
|
}
|
|
|
|
const src = readFileSync(join(ACTIONS_DIR, file), "utf8");
|
|
|
|
if (mapped === "EXEMPT") {
|
|
if (!/require(Session|Platform\w*|Permission)/.test(src)) {
|
|
errors.push(`${file}: als EXEMPT markiert, aber keine erkennbare Auth-Prüfung.`);
|
|
}
|
|
continue;
|
|
}
|
|
|
|
if (!MODULE_KEYS.includes(mapped)) {
|
|
errors.push(`${file}: unbekannter Modul-Key "${mapped}" (nicht in src/lib/modules.ts).`);
|
|
}
|
|
if (!src.includes(`moduleGuard("${mapped}")`)) {
|
|
errors.push(`${file}: erwartet moduleGuard("${mapped}") — Modul-Gating fehlt oder falscher Key.`);
|
|
}
|
|
|
|
// Jede exportierte Server-Action muss über await guard(...) laufen.
|
|
const exportRe = /export async function (\w+)\s*\(/g;
|
|
const positions: { name: string; index: number }[] = [];
|
|
let m: RegExpExecArray | null;
|
|
while ((m = exportRe.exec(src))) positions.push({ name: m[1], index: m.index });
|
|
for (let i = 0; i < positions.length; i++) {
|
|
const start = positions[i].index;
|
|
const end = i + 1 < positions.length ? positions[i + 1].index : src.length;
|
|
if (!/await guard\(/.test(src.slice(start, end))) {
|
|
errors.push(
|
|
`${file}: Action "${positions[i].name}" läuft nicht über await guard(...) — Modul-/Rechte-Guard fehlt.`
|
|
);
|
|
}
|
|
}
|
|
}
|
|
|
|
if (errors.length) {
|
|
console.error("✗ Modul-Guard-Vollständigkeitscheck fehlgeschlagen:");
|
|
for (const e of errors) console.error(" - " + e);
|
|
process.exit(1);
|
|
}
|
|
console.log(
|
|
`✓ Modul-Guard-Vollständigkeitscheck: ${files.length} Action-Dateien geprüft — alle mutierenden Actions sind modul- und rechtegegated.`
|
|
);
|