ScarriffleandClaude Opus 5
254737086e
Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem punktgenau nach einer Woche hinaus. Beides ist jetzt geregelt: - Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach Single Sign-on. - POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung greift ohne Neuanmeldung. "Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg (JWT_SECRET aendern). /auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein unwiderruflicher geworden. Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch, solange nichts eingestellt ist. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
59 lines
2.6 KiB
Bash
59 lines
2.6 KiB
Bash
# Kopiere diese Datei zu ".env" und passe die Werte an.
|
||
# install.sh erzeugt eine .env automatisch mit sicheren Zufallswerten.
|
||
|
||
# Port, unter dem die Web-UI erreichbar ist
|
||
WEB_PORT=8080
|
||
|
||
# Datenbank
|
||
POSTGRES_USER=vorrania
|
||
POSTGRES_PASSWORD=vorrania
|
||
POSTGRES_DB=vorrania
|
||
|
||
# Sicherheit – im Betrieb unbedingt ändern!
|
||
# Ein neuer Wert beendet ALLE laufenden Anmeldungen – das ist zugleich der
|
||
# einzige Weg, eine unbegrenzt gültige Sitzung wieder loszuwerden.
|
||
JWT_SECRET=change-me-please
|
||
|
||
# Wie lange eine Anmeldung gilt, in Minuten. Nur der Startwert: im Betrieb
|
||
# stellt man das unter Einstellungen -> Anmeldung ein (auch "unbegrenzt").
|
||
#JWT_EXPIRE_MINUTES=43200
|
||
|
||
# Erster Admin-Benutzer (wird nur beim allerersten Start angelegt)
|
||
ADMIN_USERNAME=admin
|
||
ADMIN_PASSWORD=changeme
|
||
|
||
# CORS (bei Betrieb hinter dem mitgelieferten nginx nicht nötig)
|
||
CORS_ORIGINS=*
|
||
|
||
# Oeffentliche Adresse dieser Instanz, z. B. https://vorrania.example.com
|
||
# Wird nur fuer Single Sign-on gebraucht (Rueckleit-Adresse) - sonst leer lassen.
|
||
PUBLIC_BASE_URL=
|
||
|
||
# ---------------------------------------------------------------------------
|
||
# Single Sign-on (OpenID Connect), z. B. gegen Authentik. Leer = aus; dann
|
||
# bleibt es beim Passwort-Login und nichts aendert sich.
|
||
#
|
||
# Ein weiterer Anbieter ist reine Konfiguration: Kuerzel in OIDC_PROVIDERS
|
||
# ergaenzen (kommagetrennt) und einen zweiten Block mit dessen Praefix anlegen.
|
||
# ---------------------------------------------------------------------------
|
||
OIDC_PROVIDERS=
|
||
#OIDC_PROVIDERS=authentik
|
||
#OIDC_AUTHENTIK_DISPLAY_NAME=Authentik
|
||
#OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania/.well-known/openid-configuration
|
||
# Vertraulicher Client (Web-Oberflaeche) - mit Secret:
|
||
#OIDC_AUTHENTIK_CLIENT_ID=
|
||
#OIDC_AUTHENTIK_CLIENT_SECRET=
|
||
# Oeffentlicher Client (iOS-App) - ohne Secret, mit PKCE:
|
||
#OIDC_AUTHENTIK_NATIVE_CLIENT_IDS=vorrania-ios
|
||
# In Authentik hat JEDE Anwendung ihren eigenen Issuer. Web- und App-Client
|
||
# brauchen dort zwei getrennte Anwendungen - deshalb hier die Discovery-Adresse
|
||
# der App-Anwendung eintragen. Nur weglassen, wenn beide Clients unter derselben
|
||
# Anwendung laufen (bzw. der Issuer-Modus auf "global" steht).
|
||
#OIDC_AUTHENTIK_NATIVE_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania-ios/.well-known/openid-configuration
|
||
# Neue Konten automatisch anlegen (Rolle "Benutzer"); false = nur bereits
|
||
# vorhandene Konten duerfen sich per SSO anmelden.
|
||
#OIDC_AUTHENTIK_AUTO_CREATE=true
|
||
# Nur bei abweichendem Reverse-Proxy-Pfad noetig. Ohne diese Zeile bildet der
|
||
# Server die Adresse als <PUBLIC_BASE_URL>/api/auth/oidc/authentik/callback.
|
||
#OIDC_AUTHENTIK_REDIRECT_URI=
|