msolarczekandClaude Opus 5
1796869e05
- proxy: /sw.js vom Session-Gate ausgenommen (Update-Prüfung auch bei abgelaufener Sitzung; enthält keine Mandantendaten) – gemeldet von L7 - next.config: /sw.js mit Cache-Control no-cache/no-store, Service-Worker-Allowed / - scripts/smoke-auth.ts: Session-Cookie über finalizeIdentityLogin + next-auth/jwt encode (ohne Passworteingabe), prüft Backoffice- und Monteur-Seiten Nachweis: /sw.js anonym 200 + no-cache; Smoke 19/19 Seiten grün. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
93 lines
3.8 KiB
TypeScript
93 lines
3.8 KiB
TypeScript
import type { NextConfig } from "next";
|
|
import createNextIntlPlugin from "next-intl/plugin";
|
|
|
|
// Im Dev-Betrieb braucht Turbopack/HMR 'unsafe-eval' und WebSocket-Verbindungen
|
|
// zum Dev-Server. Diese Lockerungen gelten NUR in der Entwicklung, nie im Build.
|
|
const isDev = process.env.NODE_ENV !== "production";
|
|
|
|
// Content-Security-Policy (F-07).
|
|
//
|
|
// Hinweis Skripte: 'unsafe-inline' ist ein bewusster Zwischenstand. Next.js liefert
|
|
// seinen Hydration-Bootstrap als Inline-Skript aus; eine Nonce-basierte CSP (Nonce in
|
|
// proxy.ts erzeugen und durchreichen) ist ein eigenes Folgepaket.
|
|
const csp = [
|
|
"default-src 'self'",
|
|
`script-src 'self' 'unsafe-inline'${isDev ? " 'unsafe-eval'" : ""}`,
|
|
// Next.js und Tailwind v4 setzen Inline-Styles.
|
|
"style-src 'self' 'unsafe-inline'",
|
|
// data: für den MFA-QR-Code; blob: für clientseitige Foto-Vorschauen (Einsatz-Fotos).
|
|
"img-src 'self' data: blob:",
|
|
// blob: für lokale Wiedergabe von Sprachnotizen vor dem Upload.
|
|
"media-src 'self' blob:",
|
|
"font-src 'self' data:",
|
|
// Im Dev zusätzlich der HMR-WebSocket des Dev-Servers.
|
|
`connect-src 'self'${isDev ? " ws: wss:" : ""}`,
|
|
// PWA: Service Worker nur vom eigenen Ursprung.
|
|
"worker-src 'self'",
|
|
"manifest-src 'self'",
|
|
"frame-ancestors 'none'",
|
|
"form-action 'self'",
|
|
"base-uri 'self'",
|
|
"object-src 'none'",
|
|
].join("; ");
|
|
|
|
// Same-origin embedding for inline document previews (PDF viewer in the import review
|
|
// mask, document previews). Everything else stays frame-ancestors 'none' / DENY.
|
|
const cspEmbeddable = csp.replace("frame-ancestors 'none'", "frame-ancestors 'self'");
|
|
|
|
// Routes that stream stored files and may be shown in a same-origin <iframe>.
|
|
const EMBEDDABLE_FILE_ROUTES = ["/files/:path*", "/imports/:id/file"];
|
|
|
|
const securityHeaders = [
|
|
{ key: "Content-Security-Policy", value: csp },
|
|
// HSTS bewusst zusätzlich in der App (neben dem Coolify-/Traefik-Proxy).
|
|
{ key: "Strict-Transport-Security", value: "max-age=63072000; includeSubDomains; preload" },
|
|
{ key: "X-Content-Type-Options", value: "nosniff" },
|
|
{ key: "X-Frame-Options", value: "DENY" },
|
|
{ key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
|
|
// Einsatz-App: Kamera (Fotos), Mikrofon (Sprachnotizen), Standort (Einsatzstart) —
|
|
// nur für den eigenen Ursprung. Zahlungs-API bleibt aus.
|
|
{ key: "Permissions-Policy", value: "camera=(self), microphone=(self), geolocation=(self), payment=()" },
|
|
];
|
|
|
|
const nextConfig: NextConfig = {
|
|
// Standalone-Output für den Docker-Multi-Stage-Build (siehe Dockerfile)
|
|
output: "standalone",
|
|
experimental: {
|
|
// Proxy (src/proxy.ts) buffers request bodies; the 10 MB default truncates uploads silently.
|
|
// Largest allowed upload is 25 MB (PDF import) plus multipart overhead.
|
|
proxyClientMaxBodySize: "26mb",
|
|
},
|
|
// i18n-Kataloge werden zur Laufzeit per fs geladen (src/i18n/request.ts) — für den
|
|
// standalone-Output explizit mitkopieren.
|
|
outputFileTracingIncludes: {
|
|
"/*": ["./messages/**/*.json"],
|
|
},
|
|
async headers() {
|
|
// Later entries override same-named headers of earlier matches (Next.js header semantics).
|
|
return [
|
|
{ source: "/:path*", headers: securityHeaders },
|
|
{
|
|
// Browsers must revalidate the service worker on every navigation to pick up updates.
|
|
source: "/sw.js",
|
|
headers: [
|
|
{ key: "Cache-Control", value: "no-cache, no-store, must-revalidate" },
|
|
{ key: "Service-Worker-Allowed", value: "/" },
|
|
{ key: "Content-Type", value: "application/javascript; charset=utf-8" },
|
|
],
|
|
},
|
|
...EMBEDDABLE_FILE_ROUTES.map((source) => ({
|
|
source,
|
|
headers: [
|
|
{ key: "Content-Security-Policy", value: cspEmbeddable },
|
|
{ key: "X-Frame-Options", value: "SAMEORIGIN" },
|
|
],
|
|
})),
|
|
];
|
|
},
|
|
};
|
|
|
|
const withNextIntl = createNextIntlPlugin();
|
|
|
|
export default withNextIntl(nextConfig);
|