Fundament Benutzer-/Rollenverwaltung: Schema, Passwort-Policy, Force-Change
Vorbereitung für die Benutzer- & Rollenverwaltung (Pakete A–C) ohne E-Mail-Flow.
- Schema: User.mustChangePassword (erzwungener Wechsel), User.mfaEnrolledAt +
recoveryCodes (optionale Nutzer-MFA, Paket C); neues Singleton PlatformSetting
mit mfaRequired (Default aus → MFA optional). Migration additiv + Grant/Seed.
- RBAC: neue Permission role:manage (Rollenverwaltung), dem Mandanten-Admin
zugewiesen; für den bestehenden Demo-Mandanten nachgezogen (neue Tenants via
provision/seed automatisch).
- Passwort-Policy: lib/password-policy.ts (client-safe Validierung/Beschreibung,
Defaults + Ableitung aus TenantSettings.securityPolicy) und server/password.ts
(Argon2id-Hash + policy-konformer Einmal-Passwort-Generator).
- Force-Change-Flow: /change-password (außerhalb der (app)-Shell) + Self-Service-
Action changeOwnPassword (policy-geprüft, Audit). (app)-Layout erzwingt den
Wechsel autoritativ aus der DB und sperrt deaktivierte Konten (Abmelden-Screen).
tsc + lint + build + Guard-Check grün.
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
msolarczekandClaude Opus 4.8
db36c795bd