{
+ class CredentialsSignin extends Error {
+ code = "credentials";
+ }
+ return {
+ default: vi.fn().mockReturnValue({ handlers: {}, auth: vi.fn() }),
+ CredentialsSignin,
+ };
+});
+
+// ── All other side-effectful imports auth.ts pulls in ───────────────────────
+vi.mock("./runtime-env.js", () => ({ assertSecureRuntimeEnv: vi.fn() }));
+vi.mock("next-auth/providers/credentials", () => ({ default: vi.fn() }));
+vi.mock("@capakraken/db", () => ({
+ prisma: { user: {}, systemSettings: {}, activeSession: {} },
+}));
+vi.mock("@capakraken/api/middleware/rate-limit", () => ({ authRateLimiter: vi.fn() }));
+vi.mock("@capakraken/api/lib/audit", () => ({ createAuditEntry: vi.fn() }));
+vi.mock("@capakraken/api/lib/logger", () => ({
+ logger: { warn: vi.fn(), error: vi.fn(), info: vi.fn() },
+}));
+vi.mock("@node-rs/argon2", () => ({ verify: vi.fn() }));
+
+// ── Import the exported error classes after mocks are in place ───────────────
+const { MfaRequiredError, MfaRequiredSetupError, InvalidTotpError } = await import("./auth.js");
+
+describe("MFA CredentialsSignin error classes — code property", () => {
+ it("MfaRequiredError.code is 'MFA_REQUIRED'", () => {
+ expect(new MfaRequiredError().code).toBe("MFA_REQUIRED");
+ });
+
+ it("MfaRequiredSetupError.code is 'MFA_REQUIRED_SETUP'", () => {
+ expect(new MfaRequiredSetupError().code).toBe("MFA_REQUIRED_SETUP");
+ });
+
+ it("InvalidTotpError.code is 'INVALID_TOTP'", () => {
+ expect(new InvalidTotpError().code).toBe("INVALID_TOTP");
+ });
+
+ it("all three extend the mocked CredentialsSignin base class", async () => {
+ const { CredentialsSignin } = await import("next-auth");
+ expect(new MfaRequiredError()).toBeInstanceOf(CredentialsSignin);
+ expect(new MfaRequiredSetupError()).toBeInstanceOf(CredentialsSignin);
+ expect(new InvalidTotpError()).toBeInstanceOf(CredentialsSignin);
+ });
+
+ it("error class names are descriptive (not generic 'Error')", () => {
+ expect(new MfaRequiredError().constructor.name).toBe("MfaRequiredError");
+ expect(new MfaRequiredSetupError().constructor.name).toBe("MfaRequiredSetupError");
+ expect(new InvalidTotpError().constructor.name).toBe("InvalidTotpError");
+ });
+});
diff --git a/apps/web/src/server/auth.ts b/apps/web/src/server/auth.ts
index bcf8cb6..b6fe243 100644
--- a/apps/web/src/server/auth.ts
+++ b/apps/web/src/server/auth.ts
@@ -4,12 +4,26 @@ import { createAuditEntry } from "@capakraken/api/lib/audit";
import { logger } from "@capakraken/api/lib/logger";
import NextAuth, { type NextAuthConfig } from "next-auth";
import Credentials from "next-auth/providers/credentials";
+import { CredentialsSignin } from "next-auth";
import { verify } from "@node-rs/argon2";
import { z } from "zod";
import { assertSecureRuntimeEnv } from "./runtime-env";
assertSecureRuntimeEnv();
+// Auth.js v5: throw CredentialsSignin subclasses so the `code` is forwarded
+// to the client via SignInResponse.code — plain Error throws become
+// CallbackRouteError and the message is never visible to the client.
+export class MfaRequiredError extends CredentialsSignin {
+ code = "MFA_REQUIRED" as const;
+}
+export class MfaRequiredSetupError extends CredentialsSignin {
+ code = "MFA_REQUIRED_SETUP" as const;
+}
+export class InvalidTotpError extends CredentialsSignin {
+ code = "INVALID_TOTP" as const;
+}
+
const LoginSchema = z.object({
email: z.string().email(),
password: z.string().min(1),
@@ -88,7 +102,7 @@ const authConfig = {
if (user.totpEnabled && user.totpSecret) {
if (!totp) {
// Signal to the client that MFA is required (include userId for re-submission)
- throw new Error("MFA_REQUIRED:" + user.id);
+ throw new MfaRequiredError();
}
const { TOTP, Secret } = await import("otpauth");
@@ -114,7 +128,7 @@ const authConfig = {
summary: "Login failed — invalid TOTP token",
source: "ui",
});
- throw new Error("INVALID_TOTP");
+ throw new InvalidTotpError();
}
}
@@ -127,7 +141,7 @@ const authConfig = {
});
const requireMfaForRoles = (settings?.requireMfaForRoles as string[] | null) ?? [];
if (requireMfaForRoles.includes(user.systemRole)) {
- throw new Error("MFA_REQUIRED_SETUP:" + user.id);
+ throw new MfaRequiredSetupError();
}
}
diff --git a/docker-compose.yml b/docker-compose.yml
index 38e8e80..505572f 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -57,7 +57,7 @@ services:
# the container itself, not the host.
DATABASE_URL: postgresql://capakraken:capakraken_dev@postgres:5432/capakraken
REDIS_URL: redis://redis:6379
- NEXTAUTH_URL: ${NEXTAUTH_URL:-http://localhost:3100}
+ NEXTAUTH_URL: ${NEXTAUTH_URL:?NEXTAUTH_URL must be set (e.g. https://your-domain.com)}
NEXTAUTH_SECRET: ${NEXTAUTH_SECRET:?set NEXTAUTH_SECRET}
# Bypass auth + API rate limiters for E2E test runs only.
# MUST remain "false" in any production or staging deployment.
diff --git a/packages/api/src/__tests__/reset-password.test.ts b/packages/api/src/__tests__/reset-password.test.ts
new file mode 100644
index 0000000..9bea00a
--- /dev/null
+++ b/packages/api/src/__tests__/reset-password.test.ts
@@ -0,0 +1,96 @@
+/**
+ * Unit tests for setUserPassword (admin password reset).
+ *
+ * Tests cover:
+ * - Happy path: passwordHash is updated in the DB
+ * - Audit entry "Password reset by admin" is created
+ * - Non-existent user throws NOT_FOUND
+ * - Short password is rejected by Zod schema before reaching the function
+ */
+
+import { beforeEach, describe, expect, it, vi } from "vitest";
+import { setUserPassword, SetUserPasswordInputSchema } from "../router/user-procedure-support.js";
+
+// ── Mocks ────────────────────────────────────────────────────────────────────
+vi.mock("../lib/audit.js", () => ({
+ createAuditEntry: vi.fn(),
+}));
+
+const hashMock = vi.hoisted(() => vi.fn().mockResolvedValue("$argon2id$hashed"));
+
+vi.mock("@node-rs/argon2", () => ({ hash: hashMock }));
+
+// ── Helpers ──────────────────────────────────────────────────────────────────
+function makeCtx(userRow: Record | null = null) {
+ return {
+ db: {
+ user: {
+ findUnique: vi.fn().mockResolvedValue(userRow),
+ update: vi.fn().mockResolvedValue({}),
+ },
+ } as never,
+ dbUser: { id: "admin_1" },
+ };
+}
+
+const EXISTING_USER = { id: "user_1", name: "Alice", email: "alice@example.com" };
+
+// ── Tests ────────────────────────────────────────────────────────────────────
+
+describe("setUserPassword — happy path", () => {
+ beforeEach(() => { vi.clearAllMocks(); });
+
+ it("hashes the new password and updates the DB", async () => {
+ const ctx = makeCtx(EXISTING_USER);
+ const result = await setUserPassword(ctx, { userId: "user_1", password: "NewPass123!" });
+
+ expect(hashMock).toHaveBeenCalledWith("NewPass123!");
+ expect(ctx.db.user.update).toHaveBeenCalledWith(
+ expect.objectContaining({
+ where: { id: "user_1" },
+ data: { passwordHash: "$argon2id$hashed" },
+ }),
+ );
+ expect(result).toEqual({ success: true });
+ });
+
+ it("creates an audit entry with summary 'Password reset by admin'", async () => {
+ const { createAuditEntry } = await import("../lib/audit.js");
+ const ctx = makeCtx(EXISTING_USER);
+ await setUserPassword(ctx, { userId: "user_1", password: "NewPass123!" });
+
+ // createAuditEntry is called fire-and-forget (void), so we give microtasks a tick
+ await Promise.resolve();
+ expect(createAuditEntry).toHaveBeenCalledWith(
+ expect.objectContaining({ summary: "Password reset by admin" }),
+ );
+ });
+});
+
+describe("setUserPassword — not found", () => {
+ beforeEach(() => { vi.clearAllMocks(); });
+
+ it("throws when the user does not exist", async () => {
+ const ctx = makeCtx(null); // findUnique returns null
+ await expect(
+ setUserPassword(ctx, { userId: "ghost", password: "NewPass123!" }),
+ ).rejects.toThrow();
+ });
+});
+
+describe("SetUserPasswordInputSchema — validation", () => {
+ it("accepts a valid input", () => {
+ const result = SetUserPasswordInputSchema.safeParse({ userId: "u1", password: "Valid123!" });
+ expect(result.success).toBe(true);
+ });
+
+ it("rejects a password shorter than 8 characters", () => {
+ const result = SetUserPasswordInputSchema.safeParse({ userId: "u1", password: "short" });
+ expect(result.success).toBe(false);
+ });
+
+ it("rejects missing userId", () => {
+ const result = SetUserPasswordInputSchema.safeParse({ password: "Valid123!" });
+ expect(result.success).toBe(false);
+ });
+});
diff --git a/plan.md b/plan.md
index d658c5d..6ea9ab3 100644
--- a/plan.md
+++ b/plan.md
@@ -1,472 +1,175 @@
# CapaKraken — Umsetzungsplan
Gitea-Repo: `https://gitea.hartmut-noerenberg.com/Hartmut/plANARCHY`
-Stand: 2026-04-01 | Issues: #19–#35
+Stand: 2026-04-02 | Issues: #38–#42 (MFA Post-Activation Bugs)
---
-## Plan: Security-Tickets #28–#35 — OWASP-Härtung Round 2
+## Plan: MFA Post-Activation Bugs #38–#42
### Anforderungsanalyse
-8 offene Security-Tickets aus dem OWASP-Audit. Pro Ticket: Implementation + Unit-Tests (happy path + negative/edge cases) + E2E-Tests wo sinnvoll.
+Nach der Implementierung der MFA-Tickets (#28–#35) wurden 5 Folgefehler identifiziert, die den Login-Flow für MFA-Nutzer vollständig blockieren. Betroffen sind `apps/web` und `packages/api`. Kein Prisma-Schema-Change nötig.
-**Reihenfolge nach Risiko und Aufwand:**
+**Kritischer Pfad:** #41 muss zuerst rein — solange Auth.js v5 alle `throw`s aus `authorize()` als `CallbackRouteError` wrappt, ist der MFA-Login für jeden Nutzer gebrochen. Alle anderen Bugs sind unabhängig davon lösbar, aber #41 ist Voraussetzung für testbare Akzeptanzkriterien von #38 und #39.
-| Ticket | Thema | Severity | Aufwand |
-|--------|-------|----------|---------|
-| #28 | TOTP `verifyTotp` Rate Limiting | High | S |
-| #29 | `/api/reports/allocations` Rollencheck | Medium | S |
-| #31 | pgAdmin Credentials docker-compose | Medium | XS |
-| #34 | Kommentar server-seitige Sanitierung | Low | S |
-| #35 | MFA-Setup-Prompt für Admins beim Login | UX | M |
-| #33 | Auth-Anomaly-Alerting Cron | Medium | M |
-| #32 | MFA Enforcement Policy (hard) | Medium | L |
-| #30 | API-Keys in DB (Design Decision) | Medium | — |
+---
### Betroffene Pakete & Dateien
| Paket | Datei | Art |
|-------|-------|-----|
-| `packages/api` | `src/middleware/rate-limit.ts` | edit — totpRateLimiter export |
-| `packages/api` | `src/router/user-self-service-procedure-support.ts` | edit — verifyTotp rate limit |
-| `packages/api` | `src/__tests__/user-self-service-mfa.test.ts` | edit — rate limit tests |
-| `apps/web` | `src/app/api/reports/allocations/route.ts` | edit — role check |
-| `apps/web` | `src/app/api/reports/allocations/route.test.ts` | create |
-| `docker-compose.yml` | — | edit — pgAdmin credentials |
-| `packages/api` | `src/router/comment-procedure-support.ts` | edit — sanitizeBody |
-| `packages/api` | `src/lib/html-sanitize.ts` | create — server-side sanitizer |
-| `packages/api` | `src/__tests__/comment-sanitize.test.ts` | create |
-| `apps/web` | `src/components/dashboard/MfaPromptBanner.tsx` | create — UX prompt |
-| `apps/web` | `src/app/(app)/dashboard/page.tsx` | edit — server-side MFA check |
-| `apps/web` | `src/app/(app)/account/security/page.tsx` | edit — mfa-prompt param |
-| `apps/web` | `src/app/api/cron/auth-anomaly-check/route.ts` | create |
-| `packages/db` | `prisma/schema.prisma` | edit — SystemSettings.requireMfaForRoles |
-| `apps/web` | `src/server/auth.ts` | edit — MFA enforcement check |
-| `apps/web` | `src/app/(app)/admin/settings/page.tsx` | edit — MFA policy UI |
-
-### Task-Liste
-
-**#28 — TOTP Rate Limiting**
-- [x] `totpRateLimiter` in `rate-limit.ts` exportieren: 10 Versuche / 30s
-- [x] `verifyTotp()` wirft 429 wenn Rate Limit überschritten
-- [x] Unit-Tests: valid pass, 10x fehlgeschlagen → 429, verschiedene UserIds unabhängig
-
-**#29 — Allocations Role Check**
-- [x] `auth()` + session.user.role prüfen: nur CONTROLLER/MANAGER/ADMIN
-- [x] Unit/Integration-Test: USER → 403, MANAGER → 200
-
-**#31 — pgAdmin Credentials**
-- [x] `PGADMIN_DEFAULT_PASSWORD: ${PGADMIN_DEFAULT_PASSWORD:-admin}` → remove default, require explicit
-
-**#34 — Comment Sanitization**
-- [x] `src/lib/html-sanitize.ts` — Strip-only sanitizer (kein HTML in Comments erlaubt)
-- [x] `createComment` + `updateComment` sanitize body vor DB-Write
-- [x] Unit-Tests: XSS-Payload, Script-Tag, sauberer Text bleibt erhalten
-
-**#35 — MFA Prompt**
-- [x] Dashboard-Page (Server): session role + DB totpEnabled check → prop an Client
-- [x] `MfaPromptBanner.tsx` — "Set up MFA" / "Remind me later" (7-Tage LocalStorage)
-- [x] Security-Page: `?mfa-prompt=1` → Banner + direkter Start des Setup-Flows
-- [x] E2E-Test: Admin ohne MFA → Banner sichtbar; nach "Später" → Banner weg für 7 Tage
-
-**#33 — Auth Anomaly Alerting**
-- [x] `/api/cron/auth-anomaly-check/route.ts` — AuditLog aggregation, Notification bei Spike
-- [x] Unit-Test: Aggregationslogik isoliert
-
-**#32 — MFA Enforcement**
-- [x] Prisma: `requireMfaForRoles String[]` auf `SystemSettings`
-- [x] `auth.ts` `authorize`: wenn Rolle in `requireMfaForRoles` + kein MFA → throw MFA_SETUP_REQUIRED
-- [x] Admin-Settings-UI: Multiselect für Pflicht-Rollen
-- [x] E2E-Test: enforcement + bypass nach MFA-Setup
-
-**#30 — API Keys (Design Decision)**
-- [ ] Architektur-Entscheidung in LEARNINGS.md dokumentieren (Option A vs B)
-- [ ] Kein Code ohne Entscheidung
-
-### Abhängigkeiten
-- #35 (MFA Prompt) sollte vor #32 (Enforcement) fertig sein
-- #28, #29, #31, #34 sind unabhängig voneinander
-
-### Akzeptanzkriterien
-- [ ] `pnpm test:unit` grün (alle Pakete)
-- [ ] `pnpm --filter @capakraken/web exec tsc --noEmit` — keine neuen Errors
-- [ ] Alle Tickets kommentiert + `in-review` gesetzt
-- [ ] Commit auf main
+| `apps/web` | `src/server/auth.ts` | edit — Custom `CredentialsSignin`-Subklassen |
+| `apps/web` | `src/app/auth/signin/page.tsx` | edit — Error-Code-Prüfung anpassen |
+| `apps/web` | `src/app/(app)/layout.tsx` | edit — server-seitiges `showMfaPrompt` entfernen |
+| `apps/web` | `src/components/security/MfaPromptBanner.tsx` | edit — client-seitig via tRPC |
+| `apps/web` | `src/app/api/perf/route.test.ts` | edit — neuer Test für Auth-Fehler-Signale |
+| `apps/web` | `docker-compose.yml` | edit — `NEXTAUTH_URL` required machen |
+| `packages/api` | `src/router/user.ts` | edit — `resetUserPassword` Admin-Mutation |
+| `packages/api` | `src/router/user-procedure-support.ts` | edit — `resetUserPassword`-Support-Fn |
+| `packages/api` | `src/__tests__/reset-password.test.ts` | create — Unit-Tests |
---
-## Plan: Ticket #27 — Dashboard Widget Bug (new users see empty modal)
-
-### Anforderungsanalyse
-
-Neue Nutzer können keine Widgets zum Dashboard hinzufügen. Root cause: `localStorage`-Key
-`"capakraken_dashboard_v1"` ist **nicht user-scoped**. Wenn User A sich ausloggt und User B
-auf demselben Gerät anmeldet, liest `useDashboardLayout` das Layout von User A aus
-`localStorage`. Hat User A ein leeres Dashboard gespeichert, sieht User B 0 Widgets —
-und nach Klick auf "Add Widget" im Modal erscheint der neue Widget **nicht** (da der
-Hydrationszustand nicht sauber initialisiert wird).
-
-**Fix:** localStorage-Key auf `capakraken_dashboard_v1_{userId}` umstellen. Vor dem Zugriff
-auf `localStorage` wartet der Hook auf `trpc.user.me`, um die User-ID zu kennen.
-
-### Betroffene Pakete & Dateien
-
-| Paket | Datei | Art |
-|-------|-------|-----|
-| `apps/web` | `src/hooks/useDashboardLayout.ts` | edit — user-scoped storage key |
-| `apps/web` | `e2e/dev-system/dashboard-widgets.spec.ts` | create — E2E tests |
-
### Task-Liste
-- [x] **T-1:** `useDashboardLayout` auf user-scoped localStorage umstellen → `useDashboardLayout.ts`
-- [x] **T-2:** E2E-Test für den kompletten Widget-Flow (new user, add, persist, reload) → `dashboard-widgets.spec.ts`
-- [ ] **T-3:** `pnpm --filter @capakraken/web exec tsc --noEmit` — keine neuen TS-Fehler
-- [ ] **T-4:** E2E-Tests gegen laufenden Dev-Server ausführen (manuell oder CI)
-- [ ] **T-5:** Commit + Ticket #27 auf Gitea kommentieren + `in-review` setzen
+#### Block A — #41: Auth.js v5 MFA-Signal-Fix (KRITISCH)
-### Akzeptanzkriterien
+- [ ] **Task A1:** Custom Error-Klassen in `apps/web/src/server/auth.ts` definieren.
+ Importiere `CredentialsSignin` aus `"next-auth"` und erstelle 3 Subklassen direkt in der Datei:
+ ```typescript
+ class MfaRequiredError extends CredentialsSignin {
+ code = "MFA_REQUIRED" as const;
+ }
+ class MfaRequiredSetupError extends CredentialsSignin {
+ code = "MFA_REQUIRED_SETUP" as const;
+ }
+ class InvalidTotpError extends CredentialsSignin {
+ code = "INVALID_TOTP" as const;
+ }
+ ```
+ Ersetze alle 3 `throw new Error(...)` in `authorize()`:
+ - `throw new Error("MFA_REQUIRED:...")` → `throw new MfaRequiredError()`
+ - `throw new Error("MFA_REQUIRED_SETUP:...")` → `throw new MfaRequiredSetupError()`
+ - `throw new Error("INVALID_TOTP")` → `throw new InvalidTotpError()`
+ - `throw new Error("Too many login attempts...")` → bleibt als normaler `throw` (nicht durch MFA verursacht, `return null` wäre die sauberere Variante — aber Audit-Eintrag muss davor kommen)
+ → Datei: `apps/web/src/server/auth.ts`
-- [ ] Neuer Admin-User sieht nach Login das Default-Dashboard (stat-cards)
-- [ ] Modal zeigt alle 11 Widgets an
-- [ ] Gewählter Widget erscheint sofort auf dem Dashboard
-- [ ] Nach Page-Reload ist der Widget weiterhin sichtbar
-- [ ] Cross-User-Bleed: User B erbt nicht das Layout von User A
+- [ ] **Task A2:** Signin-Page: Error-Code-Prüfung anpassen.
+ In Auth.js v5 beta mit `redirect: false` liefert `signIn()` bei `CredentialsSignin`-Subklassen:
+ `result.error = "
"` (also `"MFA_REQUIRED"`, `"MFA_REQUIRED_SETUP"`, `"INVALID_TOTP"`) **oder** `result.error = "CredentialsSignin"` + `result.code = ""` — je nach beta-Version.
+ **Strategie für beta.25:** Exakte string-Gleichheit statt `.includes()` verwenden:
+ ```typescript
+ if (result.error === "MFA_REQUIRED_SETUP" || result.code === "MFA_REQUIRED_SETUP") { ... }
+ if (result.error === "MFA_REQUIRED" || result.code === "MFA_REQUIRED") { ... }
+ if (result.error === "INVALID_TOTP" || result.code === "INVALID_TOTP") { ... }
+ ```
+ Rate-Limit-Fall: `return null` statt `throw` macht in `authorize()` aus `.includes("Too many")`-Prüfung ein separates Problem — hier stattdessen im `!isValid`-Pfad bleiben und für Rate-Limit `result.error` = `"CredentialsSignin"` annehmen (der Nutzer sieht keinen spezifischen Text mehr, was ok ist — Rate-Limit-Feedback ist absichtlich vage).
+ → Datei: `apps/web/src/app/auth/signin/page.tsx`
+
+- [ ] **Task A3:** Unit-Test für Auth-Fehler-Signale.
+ Teste `authorize()` direkt mit einem gemockten prisma: MFA-aktivierter User ohne `totp`-Feld → wirft `MfaRequiredError`. Falsches TOTP → wirft `InvalidTotpError`. Richtiger TOTP-Code → gibt User-Objekt zurück.
+ → Datei: `apps/web/src/server/auth.test.ts` (neu)
---
-## Plan: In-Review-Tickets verifizieren und in main integrieren
+#### Block B — #38: MFA-Banner als Client-Component
-### Anforderungsanalyse
+- [ ] **Task B1:** `MfaPromptBanner.tsx` zu vollständig client-seitigem Component umbauen.
+ Statt `userId`-Prop: eigene tRPC-Query `trpc.user.getMfaStatus.useQuery()`. Der Banner rendert sich selbst unsichtbar (`return null`) solange der Query lädt oder `totpEnabled === true`. Kein `userId`-Prop mehr nötig.
+ → Datei: `apps/web/src/components/security/MfaPromptBanner.tsx`
-8 Tickets sind `in-review`. Ziel: jeden Ticket-Scope im Code verifizieren, Gitea-Kommentar
-mit Bewertung (✅ akzeptiert / ⚠️ Nachbesserung nötig) hinterlassen, dann alle offenen
-Changes in einem sauberen Commit auf `main` integrieren.
+- [ ] **Task B2:** `(app)/layout.tsx` bereinigen.
+ Den `prisma.user.findUnique`-Call für `showMfaPrompt` entfernen. Den `prisma`-Import entfernen. `MfaPromptBanner` ohne Props rendern — immer eingebunden für `MFA_PROMPT_ROLES` (oder direkt bedingungslos, da der Banner selbst den Status kennt).
+ → Datei: `apps/web/src/app/(app)/layout.tsx`
-**Umfang der Verifikation pro Ticket:**
-- Code-Artefakte im Repo prüfen (Dateien, Tests)
-- Quality-Gates (tsc, test:unit) müssen grün sein
-- Akzeptanzkriterien aus dem Ticket-Body abgleichen
-- Gitea-Kommentar: Strukturiertes Urteil mit Befunden
+---
-**Integration-Strategie:**
-- Alle ungestagten Änderungen (`git status`) gehören zu den Tickets #20, #22, #25, #26
-- Ein einziger Commit auf `main` mit klarer Commit-Message
-- plan.md und docs/ mitcommiten
+#### Block C — #39: Dashboard-Widgets nach MFA-Aktivierung (Investigation)
-### Betroffene Pakete & Dateien
+- [ ] **Task C1:** Nach #41-Fix: Login mit MFA-Nutzer testen und prüfen, ob Dashboard-Widgets laden.
+ Hypothese: Die Widgets schlugen fehl weil die Session nach MFA-Aktivierung als ungültig galt (der active-session-Check in `auth.ts` könnte nach einem tRPC-Call eine veraltete Session sehen). Nach #41-Fix und erneutem Login sollte die Session gültig sein.
+ Falls das Problem dann noch besteht: Untersuche ob `enableTotp` die laufende Session invalidiert (fehlende Session-Neuausstellung nach MFA-Aktivierung).
+ → Kein Code-Change bis C1-Prüfung abgeschlossen. Falls nötig: `user.enableTotp` gibt nach Erfolg `{ requireRelogin: true }` zurück und das Frontend leitet auf `/auth/signin` weiter.
-| Paket | Dateien | Art der Änderung |
-|-------|---------|-----------------|
-| `apps/web` | `next.config.ts`, `src/app/layout.tsx`, `src/middleware.ts`, `src/middleware.test.ts`, `src/app/api/perf/route.ts`, `src/app/api/perf/route.test.ts`, `src/components/security/MfaSetup.test.ts`, `e2e/dev-system/rbac-data-access.spec.ts`, `e2e/dev-system/helpers.ts` | Verifikation + commit |
-| `packages/api` | `src/__tests__/ssrf-guard.test.ts`, `src/__tests__/webhook-procedure-support.test.ts` | Verifikation + commit |
-| root | `package.json`, `docker-compose.yml`, `docs/developer-runbook.md`, `plan.md` | Verifikation + commit |
+---
-### Task-Liste (atomare Schritte in Reihenfolge)
+#### Block D — #40: NEXTAUTH_URL Required
-**Phase 1 — Verifikation & Kommentierung (sequenziell, ein Ticket nach dem anderen)**
+- [ ] **Task D1:** `NEXTAUTH_URL`-Fallback in `docker-compose.yml` entfernen.
+ ```yaml
+ # vorher:
+ NEXTAUTH_URL: ${NEXTAUTH_URL:-http://localhost:3100}
+ # nachher:
+ NEXTAUTH_URL: ${NEXTAUTH_URL:?NEXTAUTH_URL must be set in .env}
+ ```
+ → Datei: `docker-compose.yml`
-- [ ] **V-1:** Ticket #19 (MFA-QR) — Code-Check: `MfaSetup.tsx` + `MfaSetup.test.ts`; Urteil auf Gitea posten
-- [ ] **V-2:** Ticket #20 (Webhook SSRF) — Code-Check: `ssrf-guard.ts` + `ssrf-guard.test.ts` + `webhook-procedure-support.test.ts`; Urteil posten
-- [ ] **V-3:** Ticket #21 (/api/perf) — Code-Check: `route.ts` + `route.test.ts`; Urteil posten
-- [ ] **V-4:** Ticket #22 (CSP) — Code-Check: `middleware.ts` + `middleware.test.ts` + `next.config.ts` + `layout.tsx`; Urteil posten
-- [ ] **V-5:** Ticket #23 (Active-Session-Registry) — Code-Check: Session-Guard-Middleware, Auth-Flow; Urteil posten
-- [ ] **V-6:** Ticket #24 (Docker reproducibility) — Code-Check: `docker-compose.yml`, Dockerfile.dev; Urteil posten
-- [ ] **V-7:** Ticket #25 (Env/Migration-Strategie) — Code-Check: `docker-compose.yml`, `docs/developer-runbook.md`; Urteil posten
-- [ ] **V-8:** Ticket #26 (RBAC E2E-Tests) — Code-Check: `rbac-data-access.spec.ts`; Urteil posten
+- [ ] **Task D2:** `.env.example` aktualisieren — `NEXTAUTH_URL=https://your-domain.com` dokumentieren.
+ → Datei: `.env.example` (falls vorhanden, sonst erstellen)
-**Phase 2 — Quality Gates**
+---
-- [ ] **Q-1:** `pnpm --filter @capakraken/web exec tsc --noEmit` — keine Fehler
-- [ ] **Q-2:** `pnpm --filter @capakraken/api test:unit` — alle Tests grün
-- [ ] **Q-3:** `pnpm --filter @capakraken/web test:unit` — alle Tests grün
+#### Block E — #42: Admin-Password-Reset-Mutation
-**Phase 3 — Git-Integration**
+- [ ] **Task E1:** `resetUserPassword`-Funktion in `user-procedure-support.ts` hinzufügen.
+ Die vorhandene `setUserPassword` setzt das Passwort beim User-Create. Eine neue Funktion `resetUserPassword(ctx, input: { userId, newPassword })` hasht `newPassword` mit argon2id und schreibt `passwordHash`. Nur erreichbar via `adminProcedure`.
+ → Datei: `packages/api/src/router/user-procedure-support.ts`
-- [ ] **G-1:** `git add` aller ungestagten Änderungen (alle Ticket-Artefakte)
-- [ ] **G-2:** Commit mit Message: `security/platform: close audit findings #19–#26 (tests, CSP nonce, SSRF guard, runbook)`
-- [ ] **G-3:** `git push origin main`
+- [ ] **Task E2:** Mutation in `user.ts` registrieren.
+ ```typescript
+ resetPassword: adminProcedure
+ .input(z.object({ userId: z.string(), newPassword: z.string().min(8) }))
+ .mutation(({ ctx, input }) => resetUserPassword(ctx, input)),
+ ```
+ → Datei: `packages/api/src/router/user.ts`
+
+- [ ] **Task E3:** Unit-Test für `resetUserPassword`.
+ Happy path: Mutation updated `passwordHash`. Negative cases: non-admin schlägt fehl, leeres Passwort schlägt fehl.
+ → Datei: `packages/api/src/__tests__/reset-password.test.ts`
+
+- [ ] **Task E4:** Admin-UI — Password-Reset-Button in der User-Verwaltung.
+ Im Admin-Bereich (vermutlich `apps/web/src/app/(app)/admin/users/`) Button "Reset Password" mit einem Modal, das ein neues Passwort verlangt (min. 8 Zeichen). Kein separates Ticket nötig — gehört zu #42.
+ → Datei: Admin-User-List-Page (Pfad nach aktuellem Stand ermitteln)
+
+---
### Abhängigkeiten
-- V-1 bis V-8 sind unabhängig voneinander, aber sequenziell (ein Kommentar pro Ticket)
-- Q-1 bis Q-3 können nach allen V-Tasks parallel laufen
-- G-1/G-2/G-3 müssen nach Q-1..3 erfolgen (kein Commit bei roten Tests)
+```
+A1 → A2 → A3 (Sequential: A2 braucht den finalen Code aus A1)
+B1 → B2 (Sequential: B2 entfernt was B1 ersetzt)
+A3, B2, D1, E3 (Können parallel laufen, sobald A1 fertig)
+C1 nach A1+A2 (Test)
+E4 nach E1+E2
+```
+
+**Reihenfolge:**
+1. A1 (kritisch, zuerst — entsperrt alle anderen)
+2. A2 (direkt danach, am selben Batch)
+3. Parallel: B1+B2, D1+D2, E1+E2
+4. A3, E3, E4
+5. C1 (manuelle Verifikation nach Deploy)
+
+---
### Akzeptanzkriterien
-- [ ] Alle 8 in-review-Tickets haben einen Bewertungskommentar
-- [ ] `pnpm test:unit` läuft grün (beide Pakete)
-- [ ] `tsc --noEmit` ohne Fehler
-- [ ] Alle neuen Dateien in einem sauberen Commit auf `main`
-- [ ] `git status` danach: working tree clean
+- [ ] `pnpm test:unit` läuft grün
+- [ ] `pnpm --filter @capakraken/web exec tsc --noEmit` — keine neuen Fehler
+- [ ] Login mit `hn@hartmut-noerenberg.com` + `Admin12345!` zeigt TOTP-Eingabe (nicht "Invalid email or password")
+- [ ] Korrekter TOTP-Code → erfolgreicher Login
+- [ ] Nach MFA-Aktivierung via UI verschwindet der Banner sofort ohne Reload
+- [ ] Nach Logout von `capakraken.hartmut-noerenberg.com` landet man auf der Login-Seite der gleichen Domain
+- [ ] `docker compose up` ohne `NEXTAUTH_URL` schlägt mit lesebarer Fehlermeldung fehl
+- [ ] Admin kann Passwort eines anderen Users über die UI zurücksetzen
+
+---
### Risiken & offene Fragen
-- **Ticket #23 (Active-Session):** Die Implementierung in früheren Sessions könnte durch spätere Auth-Fixes (jti→sid) überholt worden sein — genau prüfen
-- **Ticket #24 vs. #25:** Überlappen in `docker-compose.yml` — beide Tickets betreffen dieselbe Datei; ein Commit deckt beide ab
-- **Push auf main:** Direkt auf `main` — kein PR da kein Remote-Review-Prozess konfiguriert. Sicherstellen dass alle Tests grün sind
+1. **Auth.js beta.25 vs beta.30 `result.error` vs `result.code`:** Die genaue Rückgabestruktur von `signIn({ redirect: false })` variiert zwischen beta-Versionen. Task A2 muss nach A1 kurz manuell verifiziert werden — ggf. beide Felder (`result.error` UND `result.code`) prüfen.
----
+2. **#39 Dashboard-Bug:** Ursache noch unklar. Nach #41-Fix ist zu prüfen, ob der Fehler von selbst verschwindet (Session-Neustart beim Re-Login). Falls nicht: Session-Re-Issue nach `enableTotp` nötig (Breaking Change in der MFA-Setup-UX).
----
-
-## Ticket #25 — Docker/Env/Migration-Strategie
-
-### Anforderungsanalyse
-
-Ziel: Docker-Container-Lifecycle ohne manuelle Eingriffe.
-
-Konkrete Mängel:
-1. `REDIS_URL` in `docker-compose.yml` nutzt `${REDIS_URL:-redis://redis:6379}` — Host-Env-Var kann Docker-internen Wert überschreiben (gleiche Klasse wie das behobene `DATABASE_URL`-Problem)
-2. Migration-Strategy undokumentiert: DB per `db push` aufgebaut, dann Migration hinzugefügt → `migrate deploy` scheitert mit P3005, erforderte `migrate resolve --applied`
-3. Kein Developer-Runbook (Setup, Restart, DB-Ops fehlen)
-
-### Betroffene Dateien
-
-| Datei | Änderung |
-|---|---|
-| `docker-compose.yml` | `REDIS_URL` hardcoden |
-| `docs/developer-runbook.md` | create |
-
-### Task-Liste
-
-- [ ] **#25-T1:** `docker-compose.yml` — `REDIS_URL: redis://redis:6379` (Literal, kein `${}`)
-- [ ] **#25-T2:** `docs/developer-runbook.md` erstellen mit: Erstmaligem Setup, DB-Migration-Strategie inkl. P3005-Recovery, E2E_TEST_MODE-Erklärung, Container-Neustart-Checkliste
-
----
-
-## Ticket #26 — RBAC Datenzugriffs-Matrix E2E-Tests
-
-### Anforderungsanalyse
-
-Neue Testdatei `apps/web/e2e/dev-system/rbac-data-access.spec.ts` mit **Netzwerk-Ebene** tRPC-Response-Assertions (nicht nur UI-Sichtbarkeit).
-
-Grundlage `docs/route-access-matrix.md`:
-
-| tRPC-Prozedur | Audience | Admin | Manager | Viewer |
-|---|---|---|---|---|
-| `user.list` | `admin-only` | ✓ 200 | FORBIDDEN | FORBIDDEN |
-| `allocation.listView` | `planning-read` | ✓ 200 | ✓ 200 | FORBIDDEN |
-| `resource.listSummaries` | `resource-overview` | ✓ 200 | ✓ 200 | FORBIDDEN |
-| `user.listAssignable` | `manager-write` | ✓ 200 | ✓ 200 | FORBIDDEN |
-
-Technik: `page.evaluate()` mit `fetch()` gegen `/api/trpc/?batch=1&input=...` — läuft im Browser-Kontext der gespeicherten Session.
-
-tRPC GET-Format:
-```
-GET /api/trpc/?batch=1&input={"0":{"json":null}}
-Erfolg: [{"result":{"data":{"json":[...]}}}]
-Fehler: [{"error":{"json":{"data":{"code":"FORBIDDEN","httpStatus":403}}}}]
-```
-
-### Betroffene Dateien
-
-| Datei | Änderung |
-|---|---|
-| `apps/web/e2e/dev-system/rbac-data-access.spec.ts` | create |
-
-### Task-Liste
-
-- [ ] **#26-T1:** Datei erstellen mit `trpcQuery(page, procedure, input?)` Helper-Funktion
-- [ ] **#26-T2:** Admin-Describe-Block (4 Tests: alle 4 Prozeduren → Erfolg erwartet)
-- [ ] **#26-T3:** Manager-Describe-Block (4 Tests: `user.list` → FORBIDDEN, Rest → Erfolg)
-- [ ] **#26-T4:** Viewer-Describe-Block (4 Tests: alle → FORBIDDEN)
-- [ ] **#26-T5:** Smoke-Run: `pnpm exec playwright test e2e/dev-system/rbac-data-access.spec.ts --config=playwright.dev.config.ts`
-
-### Risiken
-
-- `allocation.listView` könnte ein Pflicht-Input-Objekt erfordern → Falls `BAD_REQUEST` statt FORBIDDEN, Schema im Router prüfen und minimalen Input übergeben
-- Viewer-Permissions aus DB-Seed (SystemRoleConfig) — prüfen ob VIEWER tatsächlich kein `VIEW_PLANNING` hat
-
----
-
----
-
-## Anforderungsanalyse
-
-Alle 6 Issues stammen aus einem Security-Audit und einem Plattform-Review.
-5 davon sind Security-Findings (OWASP A02/A05/A07/A09), 1 ist ein Plattform-Thema (Docker-Reproduzierbarkeit).
-Die Security-Issues sind weitgehend unabhängig voneinander; lediglich #23 greift in den tRPC-Request-Pfad ein und sollte zuletzt umgesetzt werden, da es den Haupt-Auth-Pfad berührt.
-
----
-
-## Betroffene Pakete & Dateien
-
-| Issue | Paket/Pfad | Datei | Art |
-|-------|-----------|-------|-----|
-| #21 | `apps/web` | `src/app/api/perf/route.ts` | edit |
-| #19 | `apps/web` | `src/components/security/MfaSetup.tsx` | edit |
-| #19 | `apps/web` | `package.json` | edit (neue Dep: `qrcode` + `@types/qrcode`) |
-| #20 | `packages/api` | `src/lib/webhook-dispatcher.ts` | edit |
-| #20 | `packages/api` | `src/router/webhook-support.ts` | edit |
-| #20 | `packages/api` | `src/lib/ssrf-guard.ts` | create |
-| #22 | `apps/web` | `next.config.ts` | edit |
-| #23 | `apps/web` | `src/app/api/trpc/[trpc]/route.ts` | edit |
-| #23 | `apps/web` | `src/server/auth.ts` | edit (Doku/Cleanup) |
-| #24 | root | `Dockerfile.dev`, `Dockerfile.prod`, `docker-compose.yml`, `docker-compose.prod.yml`, `tooling/docker/app-dev-start.sh` | edit |
-
----
-
-## Task-Liste (in empfohlener Reihenfolge)
-
-### Issue #21 — /api/perf fail-closed + Query-Token entfernen
-
-- [ ] **Task 1:** `GET`-Handler in `apps/web/src/app/api/perf/route.ts` ändern:
- - `if (cronSecret)` → `if (!cronSecret) return 401/403` (fail-closed)
- - `queryToken`-Zweig vollständig entfernen
- - Nur noch `Authorization: Bearer ` prüfen
- - → Datei: `apps/web/src/app/api/perf/route.ts`
-
-- [ ] **Task 2:** Unit-Tests für `/api/perf`:
- - Test: autorisiert per Header → 200
- - Test: kein Secret → 401
- - Test: Query-Param-Token → 401 (nicht mehr akzeptiert)
- - Test: fehlende `CRON_SECRET`-Env → fail-closed (kein Metrics-Leak)
- - → Datei: `apps/web/src/app/api/perf/route.test.ts` (neu)
-
----
-
-### Issue #19 — MFA QR lokal rendern
-
-- [ ] **Task 3:** `qrcode`-Paket und `@types/qrcode` zu `apps/web/package.json` hinzufügen, `pnpm install` ausführen.
-
-- [ ] **Task 4:** `MfaSetup.tsx` umschreiben:
- - `
` durch lokale QR-Generierung ersetzen
- - `qrcode.toDataURL(uri)` im Client-Effekt aufrufen und als `
` rendern
- - Sicherstellen: der `otpauth://`-URI verlässt den Browser nicht mehr
- - → Datei: `apps/web/src/components/security/MfaSetup.tsx`
-
-- [ ] **Task 5:** Test sicherstellen, dass kein Rendering-Request an externe QR-URL geht:
- - Unit-Test oder Playwright-Test der prüft, dass kein `![]()
` mit `qrserver.com` oder `chart.googleapis.com` gerendert wird
- - → Datei: `apps/web/src/components/security/MfaSetup.test.tsx` (neu oder bestehend ergänzen)
-
----
-
-### Issue #20 — Webhook SSRF-Schutz
-
-- [ ] **Task 6:** `ssrf-guard.ts` erstellen mit einer `assertWebhookUrlAllowed(url: string): void`-Funktion:
- - Parst die URL, löst Hostname auf (DNS-Check via Node `dns.lookup`)
- - Blockt: Loopback (`127.0.0.0/8`, `::1`), RFC1918 (`10.x`, `172.16–31.x`, `192.168.x`), Link-Local (`169.254.x`), Cloud-Metadata (`169.254.169.254`)
- - Blockt: alle Schemes außer `https` (und `http` nur wenn expliziter Dev-Override gesetzt)
- - Wirft `TRPCError({ code: "BAD_REQUEST" })` mit allgemeiner Fehlermeldung (ohne IP preiszugeben)
- - → Datei: `packages/api/src/lib/ssrf-guard.ts`
-
-- [ ] **Task 7:** `ssrf-guard` in `webhook-support.ts` und `webhook-dispatcher.ts` integrieren:
- - Vor Speicherung + vor Dispatch `assertWebhookUrlAllowed(url)` aufrufen
- - → Dateien: `packages/api/src/router/webhook-support.ts`, `packages/api/src/lib/webhook-dispatcher.ts`
-
-- [ ] **Task 8:** Unit-Tests für `ssrf-guard.ts`:
- - Erlaubt: `https://example.com/hook`
- - Blockt: `http://localhost/…`, `http://127.0.0.1/…`, `http://10.0.0.1/…`, `http://192.168.1.1/…`, `http://169.254.169.254/…`, `ftp://…`
- - → Datei: `packages/api/src/__tests__/ssrf-guard.test.ts` (neu)
-
----
-
-### Issue #22 — CSP härten
-
-- [ ] **Task 9:** CSP in `apps/web/next.config.ts` überarbeiten:
- - `unsafe-eval` entfernen oder nur für `NODE_ENV === "development"` erlauben
- - `unsafe-inline` aus `script-src` entfernen
- - Nonce-basierte Inline-Scripts prüfen: Next.js 15 unterstützt CSP-Nonces via `nonce`-Prop auf `