feat: Bankanbindung ueber PSD2 (Backend)

Seit PSD2 muessen EU-Banken eine Schnittstelle anbieten, aber nur fuer lizenzierte Dienste mit eIDAS-Zertifikat. Enable Banking haelt die Lizenz und reicht sie weiter: eigene Anwendung registrieren, eigene Konten verknuepfen, danach genau diese lesen. Deckt N26 und Revolut ab; die Schweiz faellt nicht unter PSD2, Raiffeisen bleibt beim CSV-Weg. Es gibt keinen API-Schluessel. Jede Anfrage traegt ein selbst gebautes JWT, signiert mit dem privaten Schluessel der Anwendung (RS256). Signiert wird mit cryptography, das ohnehin schon fuer die Verschluesselung im Projekt ist – der Test prueft die Signatur echt gegen den oeffentlichen Schluessel, denn genau daran scheitert so eine Anbindung sonst als Erstes. Abgerufene Umsaetze werden NICHT gebucht. Sie laufen durch detect_rows und landen als Vorschlag im Eingang – dieselbe Strecke wie Mail und Kurzbefehl, also greifen Duplikatschutz und Schlagwortregeln ohne Sonderbehandlung. Eine dritte Quelle, kein dritter Sonderweg. Bewusst eng gehalten: nur Lesen; Zuordnung Bankkonto -> Konto trifft der Nutzer; die Zuordnung verlangt dieselbe Waehrung; die Rueckleitungs-Adresse wird eingetragen statt geraten (hinter einem Proxy sieht der Dienst "http", obwohl der Browser HTTPS spricht) und muss HTTPS sein. Der Ablauf der Zustimmung (bis 180 Tage) wird sichtbar gemeldet, damit der Abruf nicht eines Tages stumm aufhoert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-26 21:25:20 +02:00
parent 3ee18c4d21
commit 7a3bd200b1
10 changed files with 1232 additions and 1 deletions
@@ -0,0 +1,76 @@
+"""Anbindung an Banken ueber PSD2 (Enable Banking).
+
+Drei Ebenen: die bei Enable Banking registrierte Anwendung dieser Installation
+(Application ID + privater Schluessel), die autorisierte Verbindung zu einer
+Bank, und die Zuordnung eines dortigen Kontos zu einem Konto in Certain.
+
+Der private Schluessel liegt verschluesselt – er ist so schuetzenswert wie ein
+Passwort, denn mit ihm wird jede Anfrage signiert.
+
+Revision ID: 0021
+Revises: 0020
+"""
+
+import sqlalchemy as sa
+from alembic import op
+
+revision = "0021"
+down_revision = "0020"
+branch_labels = None
+depends_on = None
+
+
+def upgrade() -> None:
+    op.create_table(
+        "bank_apps",
+        sa.Column("id", sa.Integer(), primary_key=True),
+        sa.Column("owner_id", sa.Integer(), nullable=False),
+        sa.Column("application_id", sa.String(length=64), nullable=False),
+        sa.Column("private_key_enc", sa.Text(), nullable=False),
+        sa.Column("base_url", sa.String(length=255), nullable=False),
+        sa.Column("created_at", sa.DateTime(timezone=True), nullable=True),
+        sa.ForeignKeyConstraint(["owner_id"], ["users.id"], ondelete="CASCADE"),
+    )
+    op.create_index("ix_bank_apps_owner_id", "bank_apps", ["owner_id"])
+
+    op.create_table(
+        "bank_connections",
+        sa.Column("id", sa.Integer(), primary_key=True),
+        sa.Column("owner_id", sa.Integer(), nullable=False),
+        sa.Column("aspsp_name", sa.String(length=120), nullable=False),
+        sa.Column("aspsp_country", sa.String(length=2), nullable=False),
+        sa.Column("session_id", sa.String(length=64), nullable=True),
+        sa.Column("valid_until", sa.DateTime(timezone=True), nullable=True),
+        sa.Column("pending_state", sa.String(length=64), nullable=True),
+        sa.Column("last_sync_at", sa.DateTime(timezone=True), nullable=True),
+        sa.Column("last_error", sa.Text(), nullable=True),
+        sa.Column("created_at", sa.DateTime(timezone=True), nullable=True),
+        sa.ForeignKeyConstraint(["owner_id"], ["users.id"], ondelete="CASCADE"),
+    )
+    op.create_index("ix_bank_connections_owner_id", "bank_connections", ["owner_id"])
+    op.create_index("ix_bank_connections_state", "bank_connections", ["pending_state"])
+
+    op.create_table(
+        "bank_account_links",
+        sa.Column("id", sa.Integer(), primary_key=True),
+        sa.Column("owner_id", sa.Integer(), nullable=False),
+        sa.Column("connection_id", sa.Integer(), nullable=False),
+        sa.Column("remote_uid", sa.String(length=64), nullable=False),
+        sa.Column("iban", sa.String(length=64), nullable=True),
+        sa.Column("remote_name", sa.String(length=255), nullable=True),
+        sa.Column("currency", sa.String(length=3), nullable=False, server_default="EUR"),
+        sa.Column("account_id", sa.Integer(), nullable=True),
+        sa.Column("created_at", sa.DateTime(timezone=True), nullable=True),
+        sa.ForeignKeyConstraint(["owner_id"], ["users.id"], ondelete="CASCADE"),
+        sa.ForeignKeyConstraint(["connection_id"], ["bank_connections.id"], ondelete="CASCADE"),
+        sa.ForeignKeyConstraint(["account_id"], ["accounts.id"], ondelete="SET NULL"),
+        sa.UniqueConstraint("owner_id", "remote_uid", name="uq_bank_link_remote"),
+    )
+    op.create_index("ix_bank_links_owner_id", "bank_account_links", ["owner_id"])
+    op.create_index("ix_bank_links_connection", "bank_account_links", ["connection_id"])
+
+
+def downgrade() -> None:
+    op.drop_table("bank_account_links")
+    op.drop_table("bank_connections")
+    op.drop_table("bank_apps")