feat: konfigurierbaren Freigabe-Workflow mit Genehmiger-Rollen einführen

Mandanten können jetzt selbst festlegen, wer bei welcher abgeleiteten Bedingung (Anforderung/Einstufung/Datenklasse) zusätzlich zur Fachebene-Entscheidung zustimmen muss (z. B. Datenschutzbeauftragter, Geschäftsführung) - Genehmiger-Rollen sind orthogonal zu den fünf bestehenden Zugriffsrollen. Alle ausgelösten Rollen müssen zustimmen, eine Ablehnung kippt kaskadierend den gesamten Antrag. Mandanten ohne Freigabe-Regeln (aktuell alle) sind unverändert vom alten Direktpfad betroffen, siehe TestOhneFreigabeRegelnVerhaeltSichWieVorher. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
2026-08-31 21:42:28 +02:00
parent 9e2c7f92ff
commit f729e5ae48
16 changed files with 2107 additions and 36 deletions
--- a/internal/web/server_test.go
+++ b/internal/web/server_test.go
@@ -38,21 +38,30 @@ type fakeStore struct {
 	entscheidungen    map[string][]store.Entscheidung    // antragID -> Entscheidungen, älteste zuerst
 	registereintraege map[string][]store.Registereintrag // accountID -> Registereintraege
 	werkzeugSperren   map[string][]store.WerkzeugSperre  // accountID -> Sperrungen
+
+	genehmigerRollen       map[string]store.GenehmigerRolle
+	nutzerGenehmigerRollen map[string]map[string]bool // userID -> Set von genehmigerRolleID
+	freigabeRegeln         map[string]store.FreigabeRegel
+	freigabeschritte       map[string]store.Freigabeschritt
 }

 func newFakeStore() *fakeStore {
 	return &fakeStore{
-		accounts:          map[string]store.Account{},
-		users:             map[string]store.User{},
-		usersByEmail:      map[string]string{},
-		sessions:          map[string]store.Session{},
-		abteilungen:       map[string][]store.Abteilung{},
-		antraege:          map[string]store.Antrag{},
-		werkzeuge:         map[string]store.Werkzeug{},
-		bewertungen:       map[string][]store.Bewertung{},
-		entscheidungen:    map[string][]store.Entscheidung{},
-		registereintraege: map[string][]store.Registereintrag{},
-		werkzeugSperren:   map[string][]store.WerkzeugSperre{},
+		accounts:               map[string]store.Account{},
+		users:                  map[string]store.User{},
+		usersByEmail:           map[string]string{},
+		sessions:               map[string]store.Session{},
+		abteilungen:            map[string][]store.Abteilung{},
+		antraege:               map[string]store.Antrag{},
+		werkzeuge:              map[string]store.Werkzeug{},
+		bewertungen:            map[string][]store.Bewertung{},
+		entscheidungen:         map[string][]store.Entscheidung{},
+		registereintraege:      map[string][]store.Registereintrag{},
+		werkzeugSperren:        map[string][]store.WerkzeugSperre{},
+		genehmigerRollen:       map[string]store.GenehmigerRolle{},
+		nutzerGenehmigerRollen: map[string]map[string]bool{},
+		freigabeRegeln:         map[string]store.FreigabeRegel{},
+		freigabeschritte:       map[string]store.Freigabeschritt{},
 	}
 }

@@ -547,6 +556,208 @@ func (f *fakeStore) ListRegistereintraegeForAccount(ctx context.Context, account
 	return f.registereintraege[accountID], nil
 }

+func (f *fakeStore) CreateGenehmigerRolle(ctx context.Context, accountID, name string) (store.GenehmigerRolle, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	g := store.GenehmigerRolle{ID: f.newID(), AccountID: accountID, Name: name, CreatedAt: time.Now()}
+	f.genehmigerRollen[g.ID] = g
+	return g, nil
+}
+
+func (f *fakeStore) GetGenehmigerRolle(ctx context.Context, id string) (store.GenehmigerRolle, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	g, ok := f.genehmigerRollen[id]
+	if !ok {
+		return store.GenehmigerRolle{}, store.ErrNotFound
+	}
+	return g, nil
+}
+
+func (f *fakeStore) ListGenehmigerRollenForAccount(ctx context.Context, accountID string) ([]store.GenehmigerRolle, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	var out []store.GenehmigerRolle
+	for _, g := range f.genehmigerRollen {
+		if g.AccountID == accountID {
+			out = append(out, g)
+		}
+	}
+	return out, nil
+}
+
+func (f *fakeStore) DeleteGenehmigerRolle(ctx context.Context, id string) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	if _, ok := f.genehmigerRollen[id]; !ok {
+		return store.ErrNotFound
+	}
+	delete(f.genehmigerRollen, id)
+	return nil
+}
+
+func (f *fakeStore) AddNutzerGenehmigerRolle(ctx context.Context, userID, genehmigerRolleID string) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	if f.nutzerGenehmigerRollen[userID] == nil {
+		f.nutzerGenehmigerRollen[userID] = map[string]bool{}
+	}
+	f.nutzerGenehmigerRollen[userID][genehmigerRolleID] = true
+	return nil
+}
+
+func (f *fakeStore) RemoveNutzerGenehmigerRolle(ctx context.Context, userID, genehmigerRolleID string) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	delete(f.nutzerGenehmigerRollen[userID], genehmigerRolleID)
+	return nil
+}
+
+func (f *fakeStore) ListGenehmigerRollenForUser(ctx context.Context, userID string) ([]store.GenehmigerRolle, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	var out []store.GenehmigerRolle
+	for grID := range f.nutzerGenehmigerRollen[userID] {
+		if g, ok := f.genehmigerRollen[grID]; ok {
+			out = append(out, g)
+		}
+	}
+	return out, nil
+}
+
+func (f *fakeStore) ListNutzerForGenehmigerRolle(ctx context.Context, genehmigerRolleID string) ([]store.GenehmigerMitglied, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	var out []store.GenehmigerMitglied
+	for userID, set := range f.nutzerGenehmigerRollen {
+		if !set[genehmigerRolleID] {
+			continue
+		}
+		if u, ok := f.users[userID]; ok {
+			out = append(out, store.GenehmigerMitglied{UserID: u.ID, Email: u.Email})
+		}
+	}
+	return out, nil
+}
+
+func (f *fakeStore) CreateFreigabeRegel(ctx context.Context, accountID, bedingungTyp, bedingungWert, genehmigerRolleID string) (store.FreigabeRegel, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	fr := store.FreigabeRegel{
+		ID: f.newID(), AccountID: accountID, BedingungTyp: bedingungTyp,
+		BedingungWert: bedingungWert, GenehmigerRolleID: genehmigerRolleID, CreatedAt: time.Now(),
+	}
+	f.freigabeRegeln[fr.ID] = fr
+	return fr, nil
+}
+
+func (f *fakeStore) ListFreigabeRegelnForAccount(ctx context.Context, accountID string) ([]store.FreigabeRegel, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	var out []store.FreigabeRegel
+	for _, fr := range f.freigabeRegeln {
+		if fr.AccountID == accountID {
+			out = append(out, fr)
+		}
+	}
+	return out, nil
+}
+
+func (f *fakeStore) GetFreigabeRegel(ctx context.Context, id string) (store.FreigabeRegel, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	fr, ok := f.freigabeRegeln[id]
+	if !ok {
+		return store.FreigabeRegel{}, store.ErrNotFound
+	}
+	return fr, nil
+}
+
+func (f *fakeStore) DeleteFreigabeRegel(ctx context.Context, id string) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	if _, ok := f.freigabeRegeln[id]; !ok {
+		return store.ErrNotFound
+	}
+	delete(f.freigabeRegeln, id)
+	return nil
+}
+
+func (f *fakeStore) CreateFreigabeschritt(ctx context.Context, antragID, genehmigerRolleID string) (store.Freigabeschritt, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	fs := store.Freigabeschritt{
+		ID: f.newID(), AntragID: antragID, GenehmigerRolleID: genehmigerRolleID,
+		Status: "ausstehend", CreatedAt: time.Now(),
+	}
+	f.freigabeschritte[fs.ID] = fs
+	return fs, nil
+}
+
+func (f *fakeStore) GetFreigabeschritt(ctx context.Context, id string) (store.Freigabeschritt, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	fs, ok := f.freigabeschritte[id]
+	if !ok {
+		return store.Freigabeschritt{}, store.ErrNotFound
+	}
+	return fs, nil
+}
+
+func (f *fakeStore) ListFreigabeschritteForAntrag(ctx context.Context, antragID string) ([]store.Freigabeschritt, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	var out []store.Freigabeschritt
+	for _, fs := range f.freigabeschritte {
+		if fs.AntragID == antragID {
+			out = append(out, fs)
+		}
+	}
+	return out, nil
+}
+
+func (f *fakeStore) ListAusstehendeFreigabeschritteForUser(ctx context.Context, userID string) ([]store.Freigabeschritt, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	var out []store.Freigabeschritt
+	for grID := range f.nutzerGenehmigerRollen[userID] {
+		for _, fs := range f.freigabeschritte {
+			if fs.GenehmigerRolleID == grID && fs.Status == "ausstehend" {
+				out = append(out, fs)
+			}
+		}
+	}
+	return out, nil
+}
+
+func (f *fakeStore) EntscheideFreigabeschritt(ctx context.Context, id, status, entschiedenVon, kommentar string) (store.Freigabeschritt, error) {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	fs, ok := f.freigabeschritte[id]
+	if !ok || fs.Status != "ausstehend" {
+		return store.Freigabeschritt{}, store.ErrNotFound
+	}
+	now := time.Now()
+	fs.Status, fs.EntschiedenVon, fs.EntschiedenAm, fs.Kommentar = status, &entschiedenVon, &now, kommentar
+	f.freigabeschritte[id] = fs
+	return fs, nil
+}
+
+func (f *fakeStore) KaskadiereAblehnung(ctx context.Context, antragID, ausloesenderSchrittID string) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	for id, fs := range f.freigabeschritte {
+		if fs.AntragID == antragID && fs.Status == "ausstehend" && id != ausloesenderSchrittID {
+			fs.Status = "abgelehnt"
+			now := time.Now()
+			fs.EntschiedenAm = &now
+			fs.Kommentar = "Automatisch abgelehnt, da eine andere erforderliche Freigabe für diesen Antrag abgelehnt wurde."
+			f.freigabeschritte[id] = fs
+		}
+	}
+	return nil
+}
+
 // ─── Test-Setup ───────────────────────────────────────────────────────

 // loadTestRegelwerk lädt die echten rules/*.yaml-Dateien — dieselben,