Halo-Server, Stufe 1: Benutzer, Anmeldung, Einrichtung

Der Anfang eines eigenen Medienservers — C#, .NET 10, SQLite, im Container für
amd64 und arm64. Stufe 1 von fünf: er spielt noch keinen Film ab, aber ein
Fremder kann ihn in Betrieb nehmen, und genau daran scheitern solche Projekte
sonst als Erstes.

**Was läuft, gegen den laufenden Container gemessen** — nicht gegen einen
Prüfstand: Gesundheitsfrage, Einrichtungsassistent, zweiter Einrichtungsversuch
abgelehnt (409), Anmeldung, falsches Passwort abgelehnt (401), und der ganze
Weg der Code-Anmeldung vom Bildschirm bis zum Token.

**Drei Entscheidungen, die beim Lesen Fragen aufwerfen:**

*Zeitpunkte liegen als Unix-Millisekunden in der Datenbank.* SQLite hat keinen
Zeittyp; EF legt einen `DateTimeOffset` sonst als Text mitsamt Zonenversatz ab,
und dann steht `…T12:00+02:00` neben `…T11:00Z` — derselbe Augenblick, als Text
falsch herum sortiert. EF weigert sich deshalb, `ExpiresAt > jetzt` überhaupt zu
übersetzen; das war der erste echte Fehlschlag und ist jetzt eine
Typumwandlung für das ganze Modell statt je Eigenschaft.

*Token sind keine JWT.* Der Server schlägt sie nach, statt sie zu prüfen — nur
so lässt sich ein verlorenes Telefon sofort aussperren. In der Datenbank steht
allein der Fingerabdruck.

*Der Code am Fernseher holt nie selbst ein Token ab.* Dafür gibt es den
Abholschein, den nur das anfragende Gerät kennt. Ohne ihn wären sechsstellige
Codes ein Türschloss mit einer Million Schlüsseln — in Minuten durchprobiert.
Dass ein erratener Schein nichts bekommt, ist die wichtigste der 55 Prüfungen.

**Zwei Fehler, die erst der echte Container zeigte:**

`EnsureExists` legte nur an und prüfte nicht, ob sich schreiben lässt — bei
einem vorhandenen, aber gesperrten Verzeichnis meldete es Erfolg, und der
Server starb zehn Zeilen später an „unable to open database file". Diese
Meldung nennt weder das Verzeichnis noch verrät sie, dass es um Dateirechte
geht. Jetzt wird tatsächlich geschrieben, und die Meldung nennt Variable,
Pfad, die eigene Kennung und den nächsten Schritt.

Und: Docker legt den Einhängepunkt eines frischen benannten Volumes als `root`
an, wenn das Verzeichnis im Image fehlt. Das traf jeden, der ohne Bind Mount
startet. Die drei Verzeichnisse werden jetzt im Image angelegt und übereignet.

**Die Lizenz ist eine Bauvorschrift, keine Fussnote.** GPL-2.0-only verträgt
sich nicht mit Apache-2.0 — dessen Patentklausel gilt unter Abschnitt 6 als
„weitere Einschränkung". Darum steht in `LICENSES.md`, dass vor jedem
`PackageReference` die Lizenz zu prüfen ist, und darum ist das Testwerk NUnit
(MIT) und nicht xUnit (Apache-2.0). Alle vier Pakete sind geprüft MIT.

Die Apps stehen unter MPL-2.0 statt GPL, weil GPL und App Store sich nicht
vertragen — Apple entfernte 2011 VLC aus dem Store, nachdem ein Rechteinhaber
sich auf Abschnitt 6 berufen hatte.

55 Tests grün. Image baut für linux/amd64 und linux/arm64.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/tests/Halo.Core.Tests/AuthCodeTests.cs

@@ -0,0 +1,118 @@
+using Halo.Core.Auth;
+
+namespace Halo.Core.Tests;
+
+public class SecretsTests
+{
+    [Test]
+    public void Zwei_Geheimnisse_sind_nie_gleich()
+    {
+        var gesehen = new HashSet<string>();
+        for (var i = 0; i < 200; i++) Assert.That(gesehen.Add(Secrets.Create()), Is.True);
+    }
+
+    [Test]
+    public void Das_Geheimnis_ist_URL_sicher()
+    {
+        for (var i = 0; i < 50; i++)
+        {
+            var s = Secrets.Create();
+            Assert.That(s, Does.Not.Contain("+").And.Not.Contain("/").And.Not.Contain("="));
+        }
+    }
+
+    [Test]
+    public void Der_Fingerabdruck_ist_gleichbleibend_und_unterscheidet()
+    {
+        var a = Secrets.Create();
+        var b = Secrets.Create();
+        // Zweimal gerechnet, nicht zweimal derselbe Ausdruck: geprüft wird,
+        // dass die Funktion bei gleicher Eingabe gleich antwortet.
+        var ersterLauf = Secrets.Fingerprint(a);
+        var zweiterLauf = Secrets.Fingerprint(a);
+        Assert.That(zweiterLauf, Is.EqualTo(ersterLauf));
+        Assert.That(Secrets.Fingerprint(b), Is.Not.EqualTo(ersterLauf));
+        Assert.That(ersterLauf, Has.Length.EqualTo(64));
+    }
+
+    /// <summary>Der Fingerabdruck darf das Geheimnis nicht enthalten.</summary>
+    [Test]
+    public void Der_Fingerabdruck_verraet_das_Geheimnis_nicht()
+    {
+        var s = Secrets.Create();
+        Assert.That(Secrets.Fingerprint(s), Does.Not.Contain(s));
+    }
+}
+
+public class AuthCodeTests
+{
+    private static readonly DateTimeOffset Jetzt = new(2026, 10, 3, 12, 0, 0, TimeSpan.Zero);
+
+    private static AuthCode Angelegt(DateTimeOffset? läuftAb = null) => new()
+    {
+        Code = AuthCode.NewCode(),
+        HandleFingerprint = Secrets.Fingerprint(Secrets.Create()),
+        DeviceName = "Wohnzimmer",
+        DeviceId = "tv-1",
+        CreatedAt = Jetzt,
+        ExpiresAt = läuftAb ?? Jetzt + AuthCode.Lifetime,
+    };
+
+    [Test]
+    public void Der_Code_hat_immer_sechs_Ziffern()
+    {
+        for (var i = 0; i < 500; i++)
+        {
+            var code = AuthCode.NewCode();
+            Assert.That(code, Has.Length.EqualTo(6));
+            Assert.That(code, Does.Match("^[0-9]{6}$"));
+        }
+    }
+
+    /// <summary>Führende Nullen dürfen nicht wegfallen — „000123" ist ein gültiger Code.</summary>
+    [Test]
+    public void Fuehrende_Nullen_bleiben_erhalten()
+    {
+        var mitNull = Enumerable.Range(0, 20_000).Select(_ => AuthCode.NewCode()).Any(c => c[0] == '0');
+        Assert.That(mitNull, Is.True, "In 20 000 Ziehungen kam kein Code mit führender Null vor");
+    }
+
+    [Test]
+    public void Ohne_Bestaetigung_gibt_es_kein_Token()
+    {
+        Assert.That(Angelegt().CanBeRedeemed(Jetzt), Is.False);
+    }
+
+    [Test]
+    public void Nach_Bestaetigung_gibt_es_ein_Token()
+    {
+        var code = Angelegt();
+        code.ApprovedByUserId = Guid.CreateVersion7();
+        Assert.That(code.CanBeRedeemed(Jetzt), Is.True);
+    }
+
+    /// <summary>Einmal abgeholt ist abgeholt.</summary>
+    [Test]
+    public void Ein_verbrauchter_Code_gibt_kein_zweites_Token()
+    {
+        var code = Angelegt();
+        code.ApprovedByUserId = Guid.CreateVersion7();
+        code.ConsumedAt = Jetzt;
+        Assert.That(code.CanBeRedeemed(Jetzt), Is.False);
+    }
+
+    [Test]
+    public void Ein_abgelaufener_Code_gibt_kein_Token_auch_wenn_bestaetigt()
+    {
+        var code = Angelegt(läuftAb: Jetzt);
+        code.ApprovedByUserId = Guid.CreateVersion7();
+        Assert.That(code.IsExpired(Jetzt), Is.True);
+        Assert.That(code.CanBeRedeemed(Jetzt), Is.False);
+    }
+
+    [Test]
+    public void Die_Gueltigkeit_ist_kurz()
+    {
+        Assert.That(AuthCode.Lifetime, Is.LessThanOrEqualTo(TimeSpan.FromMinutes(10)));
+    }
+}