MartinandClaude Fable 5
880afed391
- Auth.js v5 mit Credentials-Provider: Argon2id-Verifikation, JWT-Session mit Mandanten-Kontext, Rollen und Permissions; Login-/Logout-Flow (deutsch) - RBAC-Katalog (28 Permissions, 5 Rollen-Blueprints) mit serverseitigem requirePermission; Seed legt Demo-Mandant und 4 Demo-Nutzer an - Route-Gate über Next-16-proxy.ts (UX-Ebene), autoritative Prüfung serverseitig via requireSession/requirePermission - Prisma-Migrationen: init + Row-Level-Security-Policies (zweite Verteidigungslinie, Scharfschaltung in Härtungs-Iteration dokumentiert) - i18n-Gerüst mit next-intl (de aktiv, en vorbereitet), Audit-Log-Helper - Login/Logout end-to-end im Browser verifiziert; Build/Lint/Typecheck grün Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
37 lines
1.6 KiB
SQL
37 lines
1.6 KiB
SQL
-- Row Level Security als zweite Verteidigungslinie (docs/SPEC.md §2).
|
|
-- Primäre Isolation ist der Tenant-Guard in src/server/db.ts.
|
|
--
|
|
-- Aktivierungsstand: Policies sind definiert; die App verbindet sich aktuell
|
|
-- noch als Tabellen-Owner (Policies greifen für Owner ohne FORCE nicht).
|
|
-- Härtungs-Iteration (SPEC §11 Punkt 8): App-Verbindung auf die Rolle
|
|
-- "isms_app" umstellen und app.tenant_id pro Transaktion setzen — dann sind
|
|
-- die Policies scharf. FORCE wird bewusst nicht gesetzt, damit Migrationen,
|
|
-- Seeds und der mandantenübergreifende Login-Lookup als Owner funktionieren.
|
|
|
|
-- Eingeschränkte Anwendungsrolle (für die Härtungs-Iteration)
|
|
DO $$
|
|
BEGIN
|
|
IF NOT EXISTS (SELECT FROM pg_roles WHERE rolname = 'isms_app') THEN
|
|
CREATE ROLE isms_app NOLOGIN NOBYPASSRLS;
|
|
END IF;
|
|
END
|
|
$$;
|
|
|
|
GRANT USAGE ON SCHEMA public TO isms_app;
|
|
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO isms_app;
|
|
ALTER DEFAULT PRIVILEGES IN SCHEMA public
|
|
GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO isms_app;
|
|
|
|
-- RLS auf allen mandanten-gebundenen Tabellen
|
|
ALTER TABLE "users" ENABLE ROW LEVEL SECURITY;
|
|
ALTER TABLE "roles" ENABLE ROW LEVEL SECURITY;
|
|
ALTER TABLE "audit_logs" ENABLE ROW LEVEL SECURITY;
|
|
|
|
-- Isolation: Zugriff nur auf Zeilen des in app.tenant_id gesetzten Mandanten
|
|
CREATE POLICY tenant_isolation ON "users"
|
|
USING ("tenant_id" = current_setting('app.tenant_id', true));
|
|
CREATE POLICY tenant_isolation ON "roles"
|
|
USING ("tenant_id" = current_setting('app.tenant_id', true));
|
|
CREATE POLICY tenant_isolation ON "audit_logs"
|
|
USING ("tenant_id" = current_setting('app.tenant_id', true));
|