Sitzung haengt an der Benutzer-ID, Umbenennen wird moeglich

Das Sitzungs-Token benannte den Benutzer ueber seinen Namen (sub = username).
Damit war der Name die Kennung der Sitzung - ein Umbenennen haette jede laufende
Anmeldung dieses Benutzers ungueltig gemacht, und deshalb war es gar nicht erst
vorgesehen. Beim Anmeldedienst geaenderte Namen liessen sich in Vorrania
folglich nirgends nachziehen.

Neue Token tragen die ID (sub = "<id>", zusaetzlich uid), und deps.py loest die
Sitzung darueber auf. Alles andere haengt ohnehin schon an der ID: Bewegungen,
Dashboards, API-Tokens. Der Name ist damit reine Anzeige.

Benutzer lassen sich jetzt unter "Benutzer" umbenennen - auch sich selbst, ohne
aus der Sitzung zu fliegen. Der Anmeldeweg selbst sucht weiterhin ueber den
Namen; das ist das Feld im Formular und soll so bleiben.

Bestandsschutz: Token ohne uid werden weiter ueber den Namen aufgeloest, damit
beim Update niemand abgemeldet wird. Der Zweig darf nach Ablauf der
Token-Lebensdauer weg. Das zusaetzliche uid unterscheidet alt von neu eindeutig -
ein Benutzer koennte schlicht "42" heissen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/deps.py

@@ -17,16 +17,34 @@ _credentials_exc = HTTPException(
 )
 
 
+def _nutzer_aus_payload(db: Session, payload: dict) -> User | None:
+    """Loest die Sitzung auf – bevorzugt ueber die Benutzer-ID.
+
+    Der Benutzername ist Anzeige und darf sich aendern; die ID nicht. Deshalb
+    benennt ein neues Token den Benutzer ueber ``uid``.
+    """
+    uid = payload.get("uid")
+    if uid is not None:
+        try:
+            return db.get(User, int(uid))
+        except (TypeError, ValueError):
+            return None
+
+    # Token aus der Zeit vor der Umstellung (``sub`` = Benutzername). Laeuft
+    # spaetestens nach jwt_expire_minutes aus; dieser Zweig darf danach weg.
+    username = payload.get("sub")
+    if not username:
+        return None
+    return db.query(User).filter(User.username == username).first()
+
+
 def get_current_user(
     token: str = Depends(oauth2_scheme), db: Session = Depends(get_db)
 ) -> User:
     """Akzeptiert ein JWT aus dem Login oder ein langlebiges API-Token."""
     payload = decode_access_token(token)
     if payload is not None:
-        username = payload.get("sub")
-        if not username:
-            raise _credentials_exc
-        user = db.query(User).filter(User.username == username).first()
+        user = _nutzer_aus_payload(db, payload)
         if user is None:
             raise _credentials_exc
         return user

backend/app/routers/auth.py

@@ -21,7 +21,7 @@ def login(
             status_code=status.HTTP_401_UNAUTHORIZED,
             detail="Benutzername oder Passwort falsch",
         )
-    token = create_access_token(subject=user.username, role=user.role.value)
+    token = create_access_token(user_id=user.id, role=user.role.value)
     return Token(access_token=token, role=user.role, username=user.username)
 
 

backend/app/routers/oidc.py

@@ -64,7 +64,7 @@ def _provider_oder_404(slug: str) -> OidcProvider:
 
 
 def _token_fuer(user: User) -> Token:
-    token = create_access_token(subject=user.username, role=user.role.value)
+    token = create_access_token(user_id=user.id, role=user.role.value)
     return Token(access_token=token, role=user.role, username=user.username)
 
 

backend/app/routers/users.py

@@ -65,6 +65,14 @@ def update_user(
     user = db.get(User, user_id)
     if user is None:
         raise HTTPException(status.HTTP_404_NOT_FOUND, "Benutzer nicht gefunden")
+    if payload.username is not None:
+        neuer_name = payload.username.strip()
+        if not neuer_name:
+            raise HTTPException(status.HTTP_400_BAD_REQUEST, "Benutzername darf nicht leer sein")
+        if neuer_name != user.username:
+            if db.query(User).filter(User.username == neuer_name).first():
+                raise HTTPException(status.HTTP_409_CONFLICT, "Benutzername existiert bereits")
+            user.username = neuer_name
     if payload.password is not None:
         user.password_hash = hash_password(payload.password)
     if payload.email is not None:

backend/app/schemas.py

@@ -106,6 +106,9 @@ class UserCreate(BaseModel):
 
 
 class UserUpdate(BaseModel):
+    # Umbenennen ist gefahrlos: Sitzungen, Bewegungen, Dashboards und API-Tokens
+    # haengen an der Benutzer-ID, nicht am Namen.
+    username: str | None = Field(default=None, min_length=1, max_length=64)
     password: str | None = Field(default=None, min_length=4, max_length=255)
     # Leerer String heisst „Adresse entfernen" – deshalb hier nicht min_length.
     email: str | None = Field(default=None, max_length=255)

backend/app/security.py

@@ -31,9 +31,19 @@ def verify_password(password: str, password_hash: str | None) -> bool:
         return False
 
 
-def create_access_token(subject: str, role: str) -> str:
+def create_access_token(user_id: int, role: str) -> str:
+    """Stellt ein Sitzungs-Token aus, das den Benutzer ueber seine ID benennt.
+
+    Frueher stand hier der Benutzername. Damit war der Name die Kennung der
+    Sitzung – und ein Umbenennen haette jede laufende Anmeldung dieses Benutzers
+    ungueltig gemacht. Ueber die ID ist der Name reine Anzeige und frei aenderbar.
+
+    ``uid`` steht zusaetzlich zu ``sub`` drin, damit sich alte Token (``sub`` =
+    Name) eindeutig von neuen unterscheiden lassen – ein Benutzer koennte sonst
+    schlicht "42" heissen.
+    """
     expire = datetime.now(timezone.utc) + timedelta(minutes=settings.jwt_expire_minutes)
-    payload = {"sub": subject, "role": role, "exp": expire}
+    payload = {"sub": str(user_id), "uid": user_id, "role": role, "exp": expire}
     return jwt.encode(payload, settings.jwt_secret, algorithm=settings.jwt_algorithm)