ScarriffleandClaude Opus 5
3d0ff54bf5
Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg: OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher. Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die Rollenpruefung und die langlebigen API-Tokens unveraendert. Backend - Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung. - Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE) enden beide im selben Token-Schema. - state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt. Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf bleibt mit der db-Fixture pruefbar. - Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein gleichlautender preferred_username uebernimmt nie ein bestehendes Konto. - users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password faengt das ab, sonst antwortete der Login mit 500 statt 401. Verknuepfen bestehender Konten - Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es braucht also weder eine hinterlegte Adresse noch Admin-Rechte. - Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token nicht mitschicken kann. - Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen. iOS - AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem eingebetteten WebView, und ohne Client-Secret. - offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und bekaeme sonst einen ueberfluessigen Zustimmungsdialog. - Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung. Deployment - docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht erfordern. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
48 lines
1.9 KiB
Bash
48 lines
1.9 KiB
Bash
# Kopiere diese Datei zu ".env" und passe die Werte an.
|
||
# install.sh erzeugt eine .env automatisch mit sicheren Zufallswerten.
|
||
|
||
# Port, unter dem die Web-UI erreichbar ist
|
||
WEB_PORT=8080
|
||
|
||
# Datenbank
|
||
POSTGRES_USER=vorrania
|
||
POSTGRES_PASSWORD=vorrania
|
||
POSTGRES_DB=vorrania
|
||
|
||
# Sicherheit – im Betrieb unbedingt ändern!
|
||
JWT_SECRET=change-me-please
|
||
|
||
# Erster Admin-Benutzer (wird nur beim allerersten Start angelegt)
|
||
ADMIN_USERNAME=admin
|
||
ADMIN_PASSWORD=changeme
|
||
|
||
# CORS (bei Betrieb hinter dem mitgelieferten nginx nicht nötig)
|
||
CORS_ORIGINS=*
|
||
|
||
# Oeffentliche Adresse dieser Instanz, z. B. https://vorrania.example.com
|
||
# Wird nur fuer Single Sign-on gebraucht (Rueckleit-Adresse) - sonst leer lassen.
|
||
PUBLIC_BASE_URL=
|
||
|
||
# ---------------------------------------------------------------------------
|
||
# Single Sign-on (OpenID Connect), z. B. gegen Authentik. Leer = aus; dann
|
||
# bleibt es beim Passwort-Login und nichts aendert sich.
|
||
#
|
||
# Ein weiterer Anbieter ist reine Konfiguration: Kuerzel in OIDC_PROVIDERS
|
||
# ergaenzen (kommagetrennt) und einen zweiten Block mit dessen Praefix anlegen.
|
||
# ---------------------------------------------------------------------------
|
||
OIDC_PROVIDERS=
|
||
#OIDC_PROVIDERS=authentik
|
||
#OIDC_AUTHENTIK_DISPLAY_NAME=Authentik
|
||
#OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania/.well-known/openid-configuration
|
||
# Vertraulicher Client (Web-Oberflaeche) - mit Secret:
|
||
#OIDC_AUTHENTIK_CLIENT_ID=
|
||
#OIDC_AUTHENTIK_CLIENT_SECRET=
|
||
# Oeffentlicher Client (iOS-App) - ohne Secret, mit PKCE:
|
||
#OIDC_AUTHENTIK_NATIVE_CLIENT_IDS=vorrania-ios
|
||
# Neue Konten automatisch anlegen (Rolle "Benutzer"); false = nur bereits
|
||
# vorhandene Konten duerfen sich per SSO anmelden.
|
||
#OIDC_AUTHENTIK_AUTO_CREATE=true
|
||
# Nur bei abweichendem Reverse-Proxy-Pfad noetig. Ohne diese Zeile bildet der
|
||
# Server die Adresse als <PUBLIC_BASE_URL>/api/auth/oidc/authentik/callback.
|
||
#OIDC_AUTHENTIK_REDIRECT_URI=
|