ScarriffleandClaude Opus 5
3d0ff54bf5
Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg: OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher. Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die Rollenpruefung und die langlebigen API-Tokens unveraendert. Backend - Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung. - Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE) enden beide im selben Token-Schema. - state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt. Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf bleibt mit der db-Fixture pruefbar. - Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein gleichlautender preferred_username uebernimmt nie ein bestehendes Konto. - users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password faengt das ab, sonst antwortete der Login mit 500 statt 401. Verknuepfen bestehender Konten - Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es braucht also weder eine hinterlegte Adresse noch Admin-Rechte. - Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token nicht mitschicken kann. - Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen. iOS - AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem eingebetteten WebView, und ohne Client-Secret. - offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und bekaeme sonst einen ueberfluessigen Zustimmungsdialog. - Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung. Deployment - docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht erfordern. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
56 lines
1.9 KiB
YAML
56 lines
1.9 KiB
YAML
# Achtung bei kuenftigen Aenderungen an POSTGRES_USER/DB oder dem Volume-Namen:
|
||
# Ein anderer Volume-Name legt eine leere Datenbank an, ein anderer Benutzername
|
||
# scheitert an einem bereits eingerichteten Volume. Solche Umbenennungen gehen
|
||
# nur zusammen mit einem Datenumzug - oder auf einer leeren Installation.
|
||
services:
|
||
db:
|
||
image: postgres:16-alpine
|
||
restart: unless-stopped
|
||
environment:
|
||
POSTGRES_USER: ${POSTGRES_USER:-vorrania}
|
||
POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:-vorrania}
|
||
POSTGRES_DB: ${POSTGRES_DB:-vorrania}
|
||
volumes:
|
||
- vorrania_db:/var/lib/postgresql/data
|
||
healthcheck:
|
||
test: ["CMD-SHELL", "pg_isready -U ${POSTGRES_USER:-vorrania}"]
|
||
interval: 5s
|
||
timeout: 5s
|
||
retries: 10
|
||
|
||
backend:
|
||
build: ../backend
|
||
restart: unless-stopped
|
||
depends_on:
|
||
db:
|
||
condition: service_healthy
|
||
# Die Single-Sign-on-Bloecke heissen je Anbieter anders (OIDC_<KUERZEL>_...).
|
||
# Einzeln aufzaehlen liesse sich das nur mit fest verdrahteten Kuerzeln –
|
||
# genau das soll ein weiterer Anbieter aber NICHT erfordern. Deshalb die
|
||
# ganze .env durchreichen; der environment-Block unten gewinnt bei
|
||
# Namensgleichheit und behaelt die zusammengesetzte DATABASE_URL.
|
||
env_file:
|
||
- .env
|
||
environment:
|
||
DATABASE_URL: postgresql+psycopg2://${POSTGRES_USER:-vorrania}:${POSTGRES_PASSWORD:-vorrania}@db:5432/${POSTGRES_DB:-vorrania}
|
||
JWT_SECRET: ${JWT_SECRET:-change-me}
|
||
ADMIN_USERNAME: ${ADMIN_USERNAME:-admin}
|
||
ADMIN_PASSWORD: ${ADMIN_PASSWORD:-changeme}
|
||
CORS_ORIGINS: ${CORS_ORIGINS:-*}
|
||
# Oeffentliche Adresse der Instanz – ohne sie kann der Server die
|
||
# Rueckleit-Adresse fuer Single Sign-on nicht bilden.
|
||
PUBLIC_BASE_URL: ${PUBLIC_BASE_URL:-}
|
||
expose:
|
||
- "8000"
|
||
|
||
web:
|
||
build: ../web
|
||
restart: unless-stopped
|
||
depends_on:
|
||
- backend
|
||
ports:
|
||
- "${WEB_PORT:-8080}:80"
|
||
|
||
volumes:
|
||
vorrania_db:
|