ScarriffleandClaude Opus 5
3d0ff54bf5
Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg: OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher. Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die Rollenpruefung und die langlebigen API-Tokens unveraendert. Backend - Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung. - Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE) enden beide im selben Token-Schema. - state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt. Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf bleibt mit der db-Fixture pruefbar. - Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein gleichlautender preferred_username uebernimmt nie ein bestehendes Konto. - users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password faengt das ab, sonst antwortete der Login mit 500 statt 401. Verknuepfen bestehender Konten - Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es braucht also weder eine hinterlegte Adresse noch Admin-Rechte. - Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token nicht mitschicken kann. - Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen. iOS - AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem eingebetteten WebView, und ohne Client-Secret. - offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und bekaeme sonst einen ueberfluessigen Zustimmungsdialog. - Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung. Deployment - docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht erfordern. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
61 lines
2.4 KiB
YAML
61 lines
2.4 KiB
YAML
# XcodeGen-Spezifikation – erzeugt das Xcode-Projekt aus diesen Quellen.
|
||
# brew install xcodegen && cd ios && xcodegen generate && open Vorrania.xcodeproj
|
||
# Alternativ kann man in Xcode ein leeres App-Projekt anlegen und den Ordner
|
||
# "Sources" hineinziehen (siehe README.md).
|
||
name: Vorrania
|
||
options:
|
||
bundleIdPrefix: com.scarriffle
|
||
# Ohne das baut Xcode eine englische App: DatePicker und Monatsnamen
|
||
# erscheinen dann als "10. Dec 2027" statt "10. Dez. 2027".
|
||
developmentLanguage: de
|
||
deploymentTarget:
|
||
iOS: "16.0"
|
||
createIntermediateGroups: true
|
||
|
||
# Erste (und einzige) Fremdabhaengigkeit: AppAuth uebernimmt den
|
||
# OpenID-Connect-Anmeldevorgang. Selbst gebaut waere das ein Sicherheitsrisiko –
|
||
# PKCE, State-Pruefung und der Ablauf im System-Browser stecken hier drin.
|
||
packages:
|
||
AppAuth:
|
||
url: https://github.com/openid/AppAuth-iOS
|
||
from: 1.7.6
|
||
|
||
targets:
|
||
Vorrania:
|
||
type: application
|
||
platform: iOS
|
||
# Info.plist wird bewusst NICHT aus dieser Datei erzeugt, sondern unveraendert
|
||
# aus Sources/Info.plist uebernommen. Ein "info:"-Block hier wuerde die Datei
|
||
# bei jedem "xcodegen generate" ueberschreiben und dabei Schluessel verlieren,
|
||
# die nur dort stehen (z. B. NSAppTransportSecurity fuer das HTTP-Heimnetz).
|
||
sources:
|
||
- path: Sources
|
||
excludes:
|
||
- Info.plist
|
||
# App-Icon im Icon-Composer-Format (Xcode 26).
|
||
- path: AppIcon.icon
|
||
dependencies:
|
||
- package: AppAuth
|
||
product: AppAuth
|
||
settings:
|
||
base:
|
||
INFOPLIST_FILE: Sources/Info.plist
|
||
PRODUCT_BUNDLE_IDENTIFIER: com.scarriffle.vorrania
|
||
# Signing: automatisch verwaltet. Wer mit einem anderen Apple-Konto baut,
|
||
# traegt hier seine Team-ID ein (Xcode: Signing & Capabilities -> Team).
|
||
ASSETCATALOG_COMPILER_APPICON_NAME: AppIcon
|
||
CODE_SIGN_STYLE: Automatic
|
||
DEVELOPMENT_TEAM: PP34X97WS3
|
||
MARKETING_VERSION: "1.0"
|
||
TARGETED_DEVICE_FAMILY: "1,2"
|
||
SWIFT_VERSION: "5.9"
|
||
GENERATE_INFOPLIST_FILE: NO
|
||
# Universal Links: …/i/<UID> öffnet direkt die App. Dafür muss im
|
||
# Apple-Developer-Portal die Capability "Associated Domains" für die App-ID
|
||
# aktiv sein (einmalig), sonst schlägt das Signieren fehl.
|
||
entitlements:
|
||
path: Sources/Vorrania.entitlements
|
||
properties:
|
||
com.apple.developer.associated-domains:
|
||
- applinks:vorrania-ch.scarriffle.com
|