Richard/Deploymentcenter
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat(2.7.0): Roadmap im DC, Testinstanz mit Testtor, Supervisor und MCP

Browse Source 
Sammelcommit fuer den ueber mehrere Sitzungen gewachsenen, bisher nicht
eingecheckten Stand. Getrennte Commits waeren ehrlicher gewesen, sind es
nachtraeglich aber nicht mehr: BugRepo, changelog.json und die Doku tragen
Aenderungen aus allen Straengen gleichzeitig, und keine Zwischenstufe waere
lauffaehig.

ROADMAP IM DEPLOYMENTCENTER (2.7.0)

Planungsstand, Reihenfolge und Zustaendigkeit lagen in handgepflegten
Markdown-Dateien neben einem Bugtracker, der genau diese drei Dinge bereits
fuehrt. Zwei Pfleger fuer dasselbe Feld - Drift war eine Frage der Zeit.

Ab jetzt: Zustand im DC, Begruendung in der Datei. Kein Feld hat zwei Pfleger.

  - Migration 016: epic, roadmap_rank, target_build, defer_trigger,
    doc_anchor, Status "deferred", Tabelle roadmap_epics.
    KEINE Roadmap-Tabelle - ein Eintrag ist ein bugtracker_item.
  - Zugehoerigkeit ist ein Feld: Ein Item steht auf der Roadmap, wenn es ein
    epic hat. Ein zweites Kennzeichen daneben koennte auseinanderlaufen.
  - Kennung ist die Item-ID. Handvergebene Kuerzel ("A12") erzeugen die
    schlimmste Fehlerart: Beide Seiten stimmig, Verschiedenes gemeint, weil
    die Kennung nach einer Loeschung neu vergeben wurde.
  - Zurueckstellen verlangt defer_trigger. Ohne benannten Anlass ist ein
    Vorhaben nicht zurueckgestellt, sondern vergessen. Die Regel sitzt im
    Repository, damit sie auf allen drei Schreibwegen gleich greift.
  - Modules/Bugtracker/Roadmap.php, /api/bugtracker/v1/roadmap.php,
    WebUI-Modul mit Filtern, cli/roadmap.php --write/--check,
    dc_roadmap und dc_roadmap_set im MCP-Adapter.
  - cli/roadmap.php --write ERZEUGT den Zustandsteil der Markdown-Datei;
    --check prueft nur die Prosa. Was erzeugt wird, kann nicht driften.
  - docs/ROADMAP_MIGRATION.md: Uebernahme fuer die anderen Projekte.

TESTINSTANZ UND TESTTOR

  - dc-dev.mhdf.de: zweite Installation, eigene DB, eigene Schluessel,
    Basic-Auth davor, Rocket.Chat aus.
  - 124 Testfaelle in tests/e2e gegen API, Rechte, Migrationen, Sperre.
  - scripts/deploy.py bringt vor jedem Upload erst den anstehenden Stand auf
    die Testinstanz und laesst dann den Testlauf laufen. Erst bei
    Rueckgabewert 0 geht etwas auf die Produktion (--ohne-test als Notausgang).
    Andersherum prueft der Lauf aelteren Code als den, der gleich hochgeht.
  - tests/ ist aus dem Produktiv-Deploy ausgeschlossen; testctl.php kann
    nicht versehentlich auf dc.mhdf.de landen.
  - Ein Lauf mit mehr uebersprungenen als geprueften Faellen endet mit
    Rueckgabewert 2 statt 0. Nichts ist kaputt, geprueft wurde es aber auch
    nicht - der Unterschied darf nicht am Rueckgabewert verschwinden.

SUPERVISOR, PROJEKTLANDSCHAFT, NACHPRUEFUNG (2.6.0/2.6.1)

  - Migration 013: projektuebergreifend melden (dev_agent, evidence,
    triage_external, affects).
  - Migration 014: supervisor_findings, Katalog, fuenf serverseitige
    Detektoren im Tick.
  - Migration 015: Nachpruefung als Arbeitsschlange statt Benachrichtigung.
  - DEV-Lizenzschluessel zur Selbstbedienung, dc-testkit fuer die Test-VM.
  - MCP-Adapter: 15 Werkzeuge, ohne Fremdabhaengigkeiten, mit Abgrenzung
    von Fremddaten gegen Prompt-Injektion.

BEHOBEN

  - observe und status im Supervisor legten den Zustand des Befundes als
    "status" in die Antwort. Http::ok() merged ['status' => 'success']
    darunter, also gewann der Befundzustand - eine angenommene Meldung kam
    als status="open" an. Heisst jetzt finding_status. War Item #59.

Migrationen 013-016 sind auf dem Produktivserver noch NICHT ausgefuehrt.
Ohne sie bricht das WebUI, weil die Roadmap-Ansicht bei jedem Seitenaufruf
gegen bugtracker_items.epic abfragt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Deploymentcenter Bot
2026-08-29 21:59:20 +02:00
co-authored by Claude Opus 5
parent 9d0261306c
commit 1d5ac92051
52 changed files with 15261 additions and 103 deletions
Download Patch File Download Diff File Expand all files Collapse all files
src/Core/ApiAuth.php
+74 -5
View File
@@ -111,14 +111,69 @@ final class ApiAuth
return null;
}
/**
* Ist das ein Werkbank-Token?
*
* Der Unterschied, der zaehlt, ist nicht "welches Projekt", sondern WO das
* Token liegt:
*
* - Laufzeit-Token stecken im ausgelieferten Client, also auf fremder
* Hardware. Sie sind extrahierbar. Ein solches Token darf ausschliesslich
* in sein eigenes Projekt schreiben - sonst koennte ein Kunde mit einem
* ausgelesenen Token in fremde Tracker schreiben.
* - Werkbank-Token (owner_type "dev_agent") liegen auf einer eigenen
* Maschine: Claude Code, der MCP-Adapter, die CI. Sie duerfen ueber die
* Projekte hinweg arbeiten.
*
* Die Instanz fuehrt ausschliesslich eigene Projekte; eine geteilte Instanz
* fuer Fremde ist ausgeschlossen. Deshalb genuegt der Token-Typ als
* Unterscheidung - ohne Mandantentrennung und ohne Liste erlaubter Ziele.
*
* @param array{token:?array} $context
*/
public static function isWorkbench(array $context): bool
{
$token = $context['token'] ?? null;
return is_array($token) && ($token['owner_type'] ?? null) === 'dev_agent';
}
/**
* Das Projekt, in dem der Aufrufer zuhause ist - unabhaengig davon, welches
* Projekt er gerade anspricht.
*
* Auch ein Werkbank-Token bleibt an sein Heimatprojekt gebunden, obwohl es
* fremde ansprechen darf. Das ist der Punkt: die Herkunft einer
* Fremdmeldung (reported_from) wird daraus abgeleitet und ist damit
* bezeugt statt behauptet. Koennte ein Agent sie frei angeben, waere das
* Signal "drei Projekte melden dasselbe" wertlos.
*
* @param array{project_slug:?string} $context
*/
public static function homeProject(array $context): ?string
{
$bound = $context['project_slug'] ?? null;
return is_string($bound) && $bound !== '' ? $bound : null;
}
/**
* Stellt sicher, dass ein projektgebundenes Token nur auf sein eigenes
* Projekt zugreift. Bricht sonst mit 403 ab.
*
* @param array{project_slug:?string,method:string} $context
* $allowWorkbench oeffnet die Schranke fuer Werkbank-Token. Der Vorgabewert
* false ist Absicht: die Ausnahme wird an jeder Aufrufstelle einzeln
* gesetzt, nie global. Ein Werkbank-Token darf melden und kommentieren -
* aber nicht in einem fremden Projekt veroeffentlichen, einrichten oder
* Items abschliessen. Ein pauschaler Freibrief haette genau das getan.
*
* @param array{project_slug:?string,method:string,token:?array} $context
*/
public static function enforceProject(array $context, ?string $requestedSlug): void
{
public static function enforceProject(
array $context,
?string $requestedSlug,
bool $allowWorkbench = false
): void {
$bound = $context['project_slug'] ?? null;
if ($bound === null || $bound === '') {
@@ -129,6 +184,10 @@ final class ApiAuth
return;
}
if ($allowWorkbench && self::isWorkbench($context)) {
return;
}
Http::fail(
403,
'project_forbidden',
@@ -142,10 +201,20 @@ final class ApiAuth
* Liefert den Projekt-Slug, auf den eine Anfrage eingeschraenkt werden muss,
* oder null bei uneingeschraenktem Zugriff.
*
* @param array{project_slug:?string} $context
* $allowWorkbench hebt die Einschraenkung fuer Werkbank-Token auf. Beim
* Lesen ist das gewollt: ein Agent, der entscheiden soll, ob ein Fehler ins
* eigene oder ins fremde Projekt gehoert, muss die Landschaft sehen. Beim
* Schreiben bleibt der Vorgabewert false stehen - dort schuetzt genau diese
* Einschraenkung fremde Items vor Zugriff.
*
* @param array{project_slug:?string,token:?array} $context
*/
public static function projectFilter(array $context): ?string
public static function projectFilter(array $context, bool $allowWorkbench = false): ?string
{
if ($allowWorkbench && self::isWorkbench($context)) {
return null;
}
$bound = $context['project_slug'] ?? null;
return is_string($bound) && $bound !== '' ? $bound : null;
}
src/Core/ProjectLinks.php
+164
View File
@@ -0,0 +1,164 @@
<?php
declare(strict_types=1);
namespace Deploymentcenter\Core;
use PDO;
/**
* Wer setzt auf wem auf?
*
* dc_projects kannte bisher Slug, Name und Notiz - aber nicht, welches Projekt
* auf welchem aufbaut. Damit war die Frage, die nach jedem SDK-Fehler als
* erstes kommt, nicht beantwortbar: welche meiner Projekte sind betroffen?
*
* Der zweite Zweck ist integrated_version. Bisher stand die Fassung, gegen die
* ein Projekt integriert hat, von Hand gepflegt in dessen CLAUDE.md
* ("Deploymentcenter-Anbindung: SDK 2.5.1"). Eine Angabe, die an N Stellen von
* Hand nachgezogen werden muss, ist nach dem ersten Vergessen falsch - und
* zwar schweigend. Hier steht sie einmal, und der Agent schreibt sie fort,
* wenn er die Anbindung anfasst.
*/
final class ProjectLinks
{
/**
* uses_sdk - bindet das SDK des anderen Projekts ein
* depends_on - braucht das andere Projekt zur Laufzeit
* shares_code - teilt Quelltext, etwa eine gemeinsame Bibliothek
*/
public const KINDS = ['uses_sdk', 'depends_on', 'shares_code'];
private PDO $db;
public function __construct(PDO $db)
{
$this->db = $db;
}
/**
* Alle Beziehungen, in denen dieses Projekt vorkommt - in beide Richtungen.
*
* @return array{uses:list<array<string,mixed>>,used_by:list<array<string,mixed>>}
*/
public function forProject(string $slug): array
{
$stmt = $this->db->prepare('
SELECT from_slug, to_slug, kind, integrated_version, integrated_at, notes
FROM dc_project_links
WHERE from_slug = :slug OR to_slug = :slug
ORDER BY kind ASC, to_slug ASC
');
$stmt->execute([':slug' => $slug]);
$uses = [];
$usedBy = [];
foreach ($stmt->fetchAll() ?: [] as $row) {
$entry = [
'kind' => (string)$row['kind'],
'integrated_version' => $row['integrated_version'] ?? null,
'integrated_at' => $row['integrated_at'] ?? null,
'notes' => $row['notes'] ?? null,
];
if ((string)$row['from_slug'] === $slug) {
$uses[] = ['project_slug' => (string)$row['to_slug']] + $entry;
} else {
$usedBy[] = ['project_slug' => (string)$row['from_slug']] + $entry;
}
}
return ['uses' => $uses, 'used_by' => $usedBy];
}
/**
* Die Beziehung zwischen zwei bestimmten Projekten, aus Sicht von $from.
*
* Liefert null, wenn keine besteht - das ist der Normalfall bei zwei
* Projekten, die nichts miteinander zu tun haben, und kein Fehler.
*
* @return array{direction:string,kind:string,integrated_version:?string}|null
*/
public function between(string $from, string $to): ?array
{
if ($from === $to) {
return ['direction' => 'self', 'kind' => 'self', 'integrated_version' => null];
}
$stmt = $this->db->prepare('
SELECT from_slug, kind, integrated_version
FROM dc_project_links
WHERE (from_slug = :a AND to_slug = :b)
OR (from_slug = :b AND to_slug = :a)
ORDER BY from_slug = :a DESC
LIMIT 1
');
$stmt->execute([':a' => $from, ':b' => $to]);
$row = $stmt->fetch();
if (!is_array($row)) {
return null;
}
return [
'direction' => (string)$row['from_slug'] === $from ? 'uses' : 'used_by',
'kind' => (string)$row['kind'],
'integrated_version' => $row['integrated_version'] ?? null,
];
}
/** @return list<array<string,mixed>> */
public function all(): array
{
$stmt = $this->db->query('
SELECT from_slug, to_slug, kind, integrated_version, integrated_at, notes
FROM dc_project_links
ORDER BY from_slug ASC, to_slug ASC
');
return $stmt->fetchAll() ?: [];
}
/**
* Legt eine Beziehung an oder schreibt die integrierte Fassung fort.
*
* integrated_at wird nur gesetzt, wenn tatsaechlich eine Fassung mitkommt -
* sonst stuende dort ein Zeitpunkt ohne Aussage.
*/
public function record(
string $from,
string $to,
string $kind = 'uses_sdk',
?string $integratedVersion = null,
?string $notes = null
): bool {
if ($from === '' || $to === '' || $from === $to) {
return false;
}
if (!in_array($kind, self::KINDS, true)) {
$kind = 'uses_sdk';
}
$stmt = $this->db->prepare('
INSERT INTO dc_project_links
(from_slug, to_slug, kind, integrated_version, integrated_at, notes)
VALUES
(:from, :to, :kind, :version, IF(:version_set, UTC_TIMESTAMP(), NULL), :notes)
ON DUPLICATE KEY UPDATE
integrated_version = COALESCE(VALUES(integrated_version), integrated_version),
integrated_at = IF(VALUES(integrated_version) IS NULL, integrated_at, UTC_TIMESTAMP()),
notes = COALESCE(VALUES(notes), notes)
');
return $stmt->execute([
':from' => $from,
':to' => $to,
':kind' => $kind,
':version' => $integratedVersion,
':version_set' => $integratedVersion !== null ? 1 : 0,
':notes' => $notes,
]);
}
}
src/Core/TokenManager.php
+21
View File
@@ -37,8 +37,23 @@ final class TokenManager
'bugtracker:manage',
'watchdog:ping',
'watchdog:read',
// Supervisor: Befunde einliefern bzw. lesen. Getrennt vom Bugtracker,
// weil ein Befund etwas anderes behauptet als ein Bugreport - naemlich
// nur, dass etwas ungewoehnlich ist. Ein Beobachter auf Kundenhardware
// soll melden duerfen, ohne damit Zugriff auf den Tracker zu bekommen.
'supervisor:report',
'supervisor:read',
// Befunde sichten und einstufen. Bewusst getrennt von report: ein
// Beobachter auf Kundenhardware darf melden, aber nicht entscheiden,
// dass seine eigene Meldung erledigt ist.
'supervisor:manage',
'updateservice:read',
'updateservice:publish',
// Entwicklungsschluessel abholen. Gehoert auf das Werkbank-Token einer
// Testmaschine und auf kein ausgeliefertes Token: Wer ihn hat, kann
// sich fuer sein Projekt selbst eine befristete Lizenz ausstellen -
// und damit an die Release-Ablage.
'license:dev',
'tokens:provision',
// Erstinstallation: Katalog lesen und eine Anwendung einrichten.
// Diese Rechte traegt ausschliesslich das kurzlebige Token aus
@@ -434,6 +449,12 @@ final class TokenManager
'updateservice:publish' => ['updateservice:read'],
'watchdog:evaluate' => ['watchdog:read'],
'watchdog:ping' => ['watchdog:read'],
'supervisor:report' => ['supervisor:read'],
'supervisor:manage' => ['supervisor:read'],
// Wer sich einen Entwicklungsschluessel holen darf, tut das, um damit
// Pakete zu ziehen. Ohne updateservice:read waere der Schluessel in der
// Hand und der Katalog trotzdem verschlossen.
'license:dev' => ['updateservice:read'],
// Wer einrichten darf, muss den Katalog sehen und Releases lesen
// koennen - sonst gibt es nichts zu installieren.
'setup:install' => ['setup:catalog', 'updateservice:read'],