zurueck",
+ "text": "Eine systemd-Unit mit User= und ohne eigenes Heimatverzeichnis hat weder XDG_CONFIG_HOME noch HOME. Der Rueckfall landete im Installationsverzeichnis, unter /opt fuer den Dienstbenutzer nicht beschreibbar - also kein Offline-Cache, ausgerechnet im kopflosen Betrieb.",
+ "action": "Wenn /var/lib nicht beschreibbar ist: DEPLOYMENTCENTER_STORAGE_DIR setzen."
+ },
+ {
+ "area": "docs",
+ "breaking": false,
+ "title": "Lueckenschluss in den Leitfaeden",
+ "text": "Woher die Anwendung den Lizenzschluessel fuer den Update-Zugang nimmt (TryGetCachedKey), wie ein laufender systemd-Dienst aktualisiert wird, was statt Environment.Exit(1) zu tun ist, wenn Beenden die gefaehrlichere Option waere, und die Drosselungsgrenzen aller Endpunkte.",
+ "action": null
+ }
+ ]
+ },
{
"version": "2.5.0",
"date": "2026-08-14",
diff --git a/public/index.php b/public/index.php
index b815db5..0efcf7c 100644
--- a/public/index.php
+++ b/public/index.php
@@ -1265,6 +1265,35 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
dc_redirect('#sub-system-rocketchat');
}
+ case 'toggle_release_guard_exempt': {
+ $slug = trim((string)($_POST['slug'] ?? ''));
+ $makeExempt = ($_POST['exempt'] ?? '') === '1';
+
+ if ($slug === '') {
+ dc_flash('Kein Produkt angegeben.', 'danger');
+ dc_redirect('#sub-update-guard');
+ }
+
+ ReleaseGuard::setExempt($pdo, $slug, $makeExempt);
+
+ if ($makeExempt) {
+ dc_flash(sprintf(
+ 'Achtung: "%s" ist jetzt OHNE Zugangsschutz - jeder im Internet kann die Pakete '
+ . 'herunterladen. Nur so lange lassen, bis die ausgelieferten Installationen ihren '
+ . 'Lizenzschluessel mitschicken.',
+ e($slug)
+ ), 'danger');
+ } else {
+ dc_flash(sprintf(
+ 'Zugangsschutz fuer "%s" ist wieder aktiv. Installationen ohne Lizenzschluessel '
+ . 'bekommen ab jetzt 401.',
+ e($slug)
+ ));
+ }
+
+ dc_redirect('#sub-update-guard');
+ }
+
case 'regenerate_release_guard': {
$guard = ReleaseGuard::regenerateAll($pdo);
@@ -1721,7 +1750,7 @@ try {
$usersSchemaReady = $users === [] || array_key_exists('role', $users[0]);
// Zustand des Zugangsschutzes der Release-Verzeichnisse.
-$releaseGuard = ReleaseGuard::status();
+$releaseGuard = ReleaseGuard::status($pdo);
// Ergebnis des letzten Selbsttests. Bewusst nur gelesen: ein HTTP-Abruf je
// Produkt bei jedem Seitenaufbau waere Verschwendung.
@@ -3182,17 +3211,21 @@ Antwort:
| Status |
Zugänge |
Zuletzt erzeugt |
+ Aktion |
- | Es liegen noch keine Release-Verzeichnisse vor. |
+ | Es liegen noch keine Release-Verzeichnisse vor. |
+
|
-
+
+ AUSGENOMMEN
+
OFFEN
GESPERRT
@@ -3207,6 +3240,19 @@ Antwort:
|
|
+
+
+ |
@@ -3241,6 +3287,11 @@ Antwort:
+ AUSGENOMMEN heißt: bewusst offen gelassen — für Produkte,
+ deren ausgelieferte Installationen noch mit einem SDK vor 2.4 gebaut sind und
+ deshalb keinen Lizenzschlüssel mitschicken. Sie bekämen sonst 401 statt
+ Updates. Sobald ein Build mit Schlüssel draußen ist, wieder
+ einschalten.
OFFEN heißt: jeder im Internet kann die Pakete laden.
GESPERRT heißt: niemand kommt heran, weil es weder gültige
Lizenzen noch Installationskonten gibt — bei internen Anwendungen ohne
diff --git a/src/Modules/UpdateService/ReleaseGuard.php b/src/Modules/UpdateService/ReleaseGuard.php
index 2132b49..7575fe1 100644
--- a/src/Modules/UpdateService/ReleaseGuard.php
+++ b/src/Modules/UpdateService/ReleaseGuard.php
@@ -147,6 +147,15 @@ final class ReleaseGuard
return ['entries' => 0, 'error' => sprintf('Kein Schreibrecht in %s', $dir)];
}
+ // Ausgenommene Produkte bleiben offen. Eine bestehende .htaccess muss
+ // dabei weg - sonst bliebe der Schutz stehen und die Ausnahme waere
+ // wirkungslos.
+ if (self::isExempt($db, $slug)) {
+ @unlink($dir . '/.htaccess');
+ @unlink($dir . '/.htpasswd');
+ return ['entries' => 0, 'error' => null];
+ }
+
$entries = self::collectEntries($db, $slug);
$lines = [];
@@ -335,6 +344,69 @@ final class ReleaseGuard
/** Schluessel in dc_settings fuer das Format der erzeugten Dateien. */
private const FORMAT_KEY = 'release_guard_format';
+ /** Schluessel in dc_settings fuer die ausgenommenen Produkte. */
+ private const EXEMPT_KEY = 'release_guard_exempt';
+
+ /**
+ * Produkte, die bewusst ohne Zugangsschutz ausgeliefert werden.
+ *
+ * Wozu das noetig ist: Der Schutz entsteht beim ersten Lauf nach dem
+ * Deployment von selbst - auch fuer Produkte, deren ausgelieferte
+ * Installationen noch mit einem SDK vor 2.4 gebaut sind. Die schicken
+ * keine Zugangsdaten und bekommen ab dem Moment 401 statt Updates.
+ * Genau das ist bei Predictalytics passiert.
+ *
+ * Ohne diese Liste bliebe nur, den Schutz global abzuschalten oder die
+ * Installationsbasis auszusperren. Mit ihr laesst sich je Produkt
+ * umschalten, sobald dessen Clients nachgezogen sind.
+ *
+ * @return list
+ */
+ public static function exemptProjects(PDO $db): array
+ {
+ $raw = self::readSetting($db, self::EXEMPT_KEY);
+
+ if ($raw === null || trim($raw) === '') {
+ return [];
+ }
+
+ return array_values(array_filter(array_map(
+ static fn(string $s): string => strtolower(trim($s)),
+ explode(',', $raw)
+ ), static fn(string $s): bool => $s !== ''));
+ }
+
+ public static function isExempt(PDO $db, string $slug): bool
+ {
+ return in_array(strtolower(trim($slug)), self::exemptProjects($db), true);
+ }
+
+ /**
+ * Nimmt ein Produkt vom Schutz aus oder hebt die Ausnahme wieder auf.
+ * Die Dateien werden anschliessend neu erzeugt bzw. entfernt.
+ */
+ public static function setExempt(PDO $db, string $slug, bool $exempt): void
+ {
+ $slug = strtolower(trim($slug));
+ $list = self::exemptProjects($db);
+
+ if ($exempt) {
+ if (!in_array($slug, $list, true)) {
+ $list[] = $slug;
+ }
+ } else {
+ $list = array_values(array_filter($list, static fn(string $s): bool => $s !== $slug));
+ }
+
+ self::writeSetting($db, self::EXEMPT_KEY, implode(',', $list));
+
+ Logger::warning($exempt
+ ? 'Produkt vom Release-Zugangsschutz ausgenommen'
+ : 'Ausnahme vom Release-Zugangsschutz aufgehoben', ['product' => $slug]);
+
+ self::regenerateForProject($db, $slug);
+ }
+
/**
* Format der erzeugten .htpasswd. Bei einer Aenderung muessen alle Dateien
* neu geschrieben werden, sonst passen Server und Client nicht mehr
@@ -408,6 +480,12 @@ final class ReleaseGuard
}
$seen[$product] = true;
+ // Ein bewusst ausgenommenes Produkt darf den Selbsttest nicht
+ // rot faerben - sonst gewoehnt man sich an einen roten Test.
+ if (self::isExempt($db, $product)) {
+ continue;
+ }
+
$url = (string)$row['download_url'];
$result['checked']++;
@@ -599,7 +677,7 @@ final class ReleaseGuard
*
* @return list>
*/
- public static function status(): array
+ public static function status(?PDO $db = null): array
{
$root = self::releasesRoot();
@@ -607,6 +685,7 @@ final class ReleaseGuard
return [];
}
+ $exempt = $db !== null ? self::exemptProjects($db) : [];
$report = [];
foreach (scandir($root) ?: [] as $entry) {
@@ -628,6 +707,7 @@ final class ReleaseGuard
$report[] = [
'slug' => $entry,
'protected' => $protected,
+ 'exempt' => in_array(strtolower((string)$entry), $exempt, true),
'entries' => $count,
'updated_at' => $protected ? gmdate('Y-m-d H:i:s', (int)filemtime($htpasswd)) : null,
'writable' => is_writable($dir),