fe28278615
Postgres-RLS-Policies auf allen Tabellen mit echten Mandanten- Geschäftsdaten (antrag und alles darüber verkettete, abteilung, werkzeug/werkzeug_sperre, genehmiger_rolle/freigabe_regel, loeschfrist_einstellung). Kritischer Fund vor der Umsetzung: die Anwendung verbindet als postgres-Superuser, der RLS immer umgeht - Migration 0021 legt deshalb zusätzlich eine eingeschränkte Rolle "deklarix_app" an, nur für die greifen die Policies tatsächlich. internal/store/tenant_scope.go: WithTenantScope öffnet eine Transaktion und setzt Sitzungsvariablen (app.account_id/app.is_betreiber) per set_config mit Parameterbindung; alle Store-Methoden laufen jetzt über s.db(ctx) statt direkt s.Pool. Jede require*-Middleware umschließt die komplette Handler-Ausführung damit - jeder Request läuft dadurch auch atomar in einer Transaktion (positiver Nebeneffekt). Live end-to-end verifiziert (echter HTTP-Server + DATABASE_URL_APP auf die eingeschränkte Rolle gesetzt): zwei Firmen registriert, Isolation über Abteilung/Antrag/Bewertung bestätigt, zentraler NULL-Katalog für beide sichtbar. Produktivbetrieb braucht noch einen manuellen Schritt (Passwort für deklarix_app setzen + DATABASE_URL_APP konfigurieren, siehe CLAUDE.md) - die Migration allein aktiviert noch nichts, solange die App weiter als Superuser verbindet. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
93 lines
2.9 KiB
Go
93 lines
2.9 KiB
Go
package main
|
|
|
|
import (
|
|
"context"
|
|
"log"
|
|
"net/http"
|
|
"os"
|
|
|
|
"github.com/netcell-it/deklarix/internal/mail"
|
|
"github.com/netcell-it/deklarix/internal/rules"
|
|
"github.com/netcell-it/deklarix/internal/store"
|
|
"github.com/netcell-it/deklarix/internal/web"
|
|
)
|
|
|
|
func main() {
|
|
databaseURL := os.Getenv("DATABASE_URL")
|
|
if databaseURL == "" {
|
|
log.Fatal("DATABASE_URL is required")
|
|
}
|
|
|
|
if err := store.Migrate(databaseURL); err != nil {
|
|
log.Fatalf("migrate: %v", err)
|
|
}
|
|
|
|
// Migrationen laufen immer über DATABASE_URL (braucht DDL-Rechte,
|
|
// z. B. CREATE TABLE/ALTER TABLE). Die laufende Anwendung verbindet
|
|
// sich dagegen möglichst über die eingeschränkte Row-Level-Security-
|
|
// Rolle "deklarix_app" (siehe Migration 0021) — DATABASE_URL_APP,
|
|
// falls gesetzt. Ohne DATABASE_URL_APP fällt sie auf DATABASE_URL
|
|
// zurück (bisheriges Verhalten, Postgres-Superuser umgeht RLS-
|
|
// Policies dann vollständig — kein Fehler, aber auch keine
|
|
// zusätzliche Isolation auf DB-Ebene, siehe CLAUDE.md).
|
|
appDatabaseURL := os.Getenv("DATABASE_URL_APP")
|
|
if appDatabaseURL == "" {
|
|
appDatabaseURL = databaseURL
|
|
}
|
|
db, err := store.Open(context.Background(), appDatabaseURL)
|
|
if err != nil {
|
|
log.Fatalf("open store: %v", err)
|
|
}
|
|
defer db.Close()
|
|
|
|
rulesDir := os.Getenv("RULES_DIR")
|
|
if rulesDir == "" {
|
|
rulesDir = "rules"
|
|
}
|
|
rulesFS := os.DirFS(rulesDir)
|
|
// Beim Start laden und validieren, auch wenn die Auswertungslogik
|
|
// (Phase 3 der Baureihenfolge) sie noch nicht konsumiert — ein
|
|
// kaputtes Regelwerk soll den Dienst nicht erst beim ersten Antrag
|
|
// zum Absturz bringen, sondern gar nicht erst starten lassen.
|
|
datenklasse, err := rules.LoadDatenklasse(rulesFS, "datenklasse.yaml")
|
|
if err != nil {
|
|
log.Fatalf("load datenklasse-regelwerk from %s: %v", rulesDir, err)
|
|
}
|
|
einstufung, err := rules.LoadEinstufung(rulesFS, "kivo_einstufung.yaml")
|
|
if err != nil {
|
|
log.Fatalf("load ki-vo-einstufung-regelwerk from %s: %v", rulesDir, err)
|
|
}
|
|
anforderungen, err := rules.LoadAnforderungen(rulesFS, "anforderungen.yaml")
|
|
if err != nil {
|
|
log.Fatalf("load anforderungsprofil-regelwerk from %s: %v", rulesDir, err)
|
|
}
|
|
log.Printf("Regelwerk geladen: %d Datenklassen, %d KI-VO-Stufen, %d Anforderungen (aus %s)",
|
|
len(datenklasse.Stufen), len(einstufung.Stufen), len(anforderungen.Anforderungen), rulesDir)
|
|
|
|
mailer := mail.NewSMTPMailer(mail.Config{
|
|
Host: os.Getenv("SMTP_HOST"),
|
|
Port: os.Getenv("SMTP_PORT"),
|
|
User: os.Getenv("SMTP_USER"),
|
|
Password: os.Getenv("SMTP_PASSWORD"),
|
|
From: os.Getenv("SMTP_FROM"),
|
|
})
|
|
|
|
server, err := web.NewServer(db, web.Regelwerk{
|
|
Datenklasse: datenklasse, Einstufung: einstufung, Anforderungen: anforderungen,
|
|
}, mailer)
|
|
if err != nil {
|
|
log.Fatalf("web server: %v", err)
|
|
}
|
|
|
|
port := os.Getenv("PORT")
|
|
if port == "" {
|
|
port = "8080"
|
|
}
|
|
addr := ":" + port
|
|
|
|
log.Printf("Deklarix server starting on %s", addr)
|
|
if err := http.ListenAndServe(addr, server); err != nil {
|
|
log.Fatal(err)
|
|
}
|
|
}
|