jagd-apps

Commit Graph

Author	SHA1	Message	Date
thomas	4b61db82fd	security: Rechte-Eskalation über Handler-Tokens schließen Ergänzt die Absicherung aus 8384ad9/d9fecb6 um die Lücken, die dort offen geblieben sind. - authenticateToken prüft jetzt die Rolle. Der C-01-Fix vergleicht nur `decoded.app`, und genau den Claim tragen Handler-Tokens nicht ({ id, role: 'handler' }) – `if (decoded.app && ...)` lief bei ihnen also ins Leere. Ein eingeloggter Hundeführer konnte seinen Bearer-Token weiterhin gegen /api/users, /api/config und /api/audit-logs schicken und hatte volle Admin-Rechte. Admin-Tokens tragen zusätzlich role: 'admin'; Tokens ohne role bleiben bis zum Ablauf gültig, niemand wird ausgeloggt. - Logout wird als LOGOUT protokolliert statt als LOGIN, und die Route liest den Benutzernamen über attachUserIfPresent (neu). Vorher lag gar keine Auth-Middleware auf /logout, der Eintrag lautete immer "unknown". - forgotPassword sucht case-insensitive wie der Login. Ein als "Thorsten" angelegtes Konto konnte sich als "thorsten" anmelden, aber kein Passwort zurücksetzen. - CSV-Export escaped führende =, +, -, @ (neues utils/csv.js, von userController und auditController gemeinsam genutzt). Ein Name wie =HYPERLINK(...) wurde sonst von Excel als Formel ausgeführt. - Massen-Operationen filtern soft-deleted Einträge; der pre(/^find/)-Hook des Modells greift bei updateMany nicht. - Die öffentliche Liste liefert wieder phone, landline, address und photo. Die UI zeigt diese Felder seit jeher an, die API lieferte sie seit dem PII-Commit nicht mehr – Anrufen war öffentlich nicht mehr möglich. E-Mail, Hashes und Invite-Felder bleiben ausgeschlossen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-25 08:09:34 +02:00
User	d9fecb6914	security: implement audit fixes and backend optimizations - L-03: PasswordReset.js minLength 6 -> 12 for all 3 apps - B-01: PLZ geocoding proxy endpoint (GET /api/public/geocode) in all 3 backends; frontend PublicUserList now uses backend instead of direct Nominatim calls - B-02: type filter server-side via onRefetch useEffect; removed redundant local available/type filters from PublicUserList useMemo - audit fixes: app-specific JWT secrets, bcrypt cost 12, LRU geocode cache, auth middleware app-claim check, nginx CSP script-src cleanup, nginx.conf renamed to nginx.conf.dev, geocode-cache Docker volume - add mailer.js utility (password reset emails)	2026-05-03 11:20:45 +02:00
thomas	5eb14a7826	init: Jagd Apps Heidekreis – Portal, Nachsuche, Drohnenführer, Stöberhunde	2026-05-02 17:31:20 +02:00

Author

SHA1

Message

Date

thomas

4b61db82fd

security: Rechte-Eskalation über Handler-Tokens schließen

Ergänzt die Absicherung aus 8384ad9/d9fecb6 um die Lücken, die dort offen
geblieben sind.

- authenticateToken prüft jetzt die Rolle. Der C-01-Fix vergleicht nur
  `decoded.app`, und genau den Claim tragen Handler-Tokens nicht
  ({ id, role: 'handler' }) – `if (decoded.app && ...)` lief bei ihnen
  also ins Leere. Ein eingeloggter Hundeführer konnte seinen Bearer-Token
  weiterhin gegen /api/users, /api/config und /api/audit-logs schicken und
  hatte volle Admin-Rechte. Admin-Tokens tragen zusätzlich role: 'admin';
  Tokens ohne role bleiben bis zum Ablauf gültig, niemand wird ausgeloggt.
- Logout wird als LOGOUT protokolliert statt als LOGIN, und die Route
  liest den Benutzernamen über attachUserIfPresent (neu). Vorher lag gar
  keine Auth-Middleware auf /logout, der Eintrag lautete immer "unknown".
- forgotPassword sucht case-insensitive wie der Login. Ein als "Thorsten"
  angelegtes Konto konnte sich als "thorsten" anmelden, aber kein Passwort
  zurücksetzen.
- CSV-Export escaped führende =, +, -, @ (neues utils/csv.js, von
  userController und auditController gemeinsam genutzt). Ein Name wie
  =HYPERLINK(...) wurde sonst von Excel als Formel ausgeführt.
- Massen-Operationen filtern soft-deleted Einträge; der pre(/^find/)-Hook
  des Modells greift bei updateMany nicht.
- Die öffentliche Liste liefert wieder phone, landline, address und photo.
  Die UI zeigt diese Felder seit jeher an, die API lieferte sie seit dem
  PII-Commit nicht mehr – Anrufen war öffentlich nicht mehr möglich.
  E-Mail, Hashes und Invite-Felder bleiben ausgeschlossen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-25 08:09:34 +02:00

User

d9fecb6914

security: implement audit fixes and backend optimizations

- L-03: PasswordReset.js minLength 6 -> 12 for all 3 apps
- B-01: PLZ geocoding proxy endpoint (GET /api/public/geocode) in all 3 backends;
  frontend PublicUserList now uses backend instead of direct Nominatim calls
- B-02: type filter server-side via onRefetch useEffect; removed redundant local
  available/type filters from PublicUserList useMemo
- audit fixes: app-specific JWT secrets, bcrypt cost 12, LRU geocode cache,
  auth middleware app-claim check, nginx CSP script-src cleanup,
  nginx.conf renamed to nginx.conf.dev, geocode-cache Docker volume
- add mailer.js utility (password reset emails)

2026-05-03 11:20:45 +02:00

thomas

5eb14a7826

init: Jagd Apps Heidekreis – Portal, Nachsuche, Drohnenführer, Stöberhunde

2026-05-02 17:31:20 +02:00

3 Commits