# Deploymentcenter - Front-Controller-Routing
#
# Reihenfolge ist bewusst gewaehlt: erst die Routen (jeweils mit [L]), danach
# die Sperrregeln fuer alles, was nicht geroutet wurde. Zusaetzlich liegt in
# config/, src/ und sql/ jeweils eine eigene .htaccess als zweite
# Verteidigungslinie, falls mod_rewrite oder AllowOverride ausfaellt.

Options -Indexes

<IfModule mod_rewrite.c>
    RewriteEngine On

    # ------------------------------------------------------------------
    # 0. TLS erzwingen - und zwar VOR jeder Route
    # ------------------------------------------------------------------
    # Die Stelle ist der Punkt. Alle Routen darunter tragen [L]; stuende die
    # Umleitung dahinter, wuerde sie fuer genau die Adressen nie erreicht,
    # die es betrifft - login.php, index.php, die gesamte API.
    #
    # Ergaenzt HSTS, ersetzt es nicht: HSTS wirkt erst, nachdem der Browser
    # die Anlage einmal ueber TLS gesehen hat. Die erste Anfrage ist genau
    # die, die abgefangen wuerde, und die faengt diese Regel ab.
    #
    # Die zweite Bedingung gilt TLS-terminierenden Zwischenstellen: Dort ist
    # %{HTTPS} leer, obwohl der Besucher verschluesselt spricht. Ohne sie
    # liefe die Umleitung im Kreis.
    RewriteCond %{HTTPS} !=on
    RewriteCond %{HTTP:X-Forwarded-Proto} !=https
    RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

    # Bereits umgeschriebene Anfragen nicht erneut anfassen.
    RewriteRule ^public/ - [L]

    # ------------------------------------------------------------------
    # 1. Statische Assets
    # ------------------------------------------------------------------
    RewriteRule ^assets/(.*)$ public/assets/$1 [L,QSA]

    # ------------------------------------------------------------------
    # 2. API
    # ------------------------------------------------------------------
    RewriteRule ^api/health/?$                       public/api/health.php [L,QSA]
    RewriteRule ^api/openapi(?:\.json)?/?$           public/api/openapi.php [L,QSA]

    RewriteRule ^api/errors/v1/report/?$             public/api/errors/v1/report.php [L,QSA]
    RewriteRule ^api/bugtracker/v1/report/?$         public/api/bugtracker/v1/report.php [L,QSA]
    RewriteRule ^api/bugtracker/v1/projects/?$       public/api/bugtracker/v1/projects.php [L,QSA]
    RewriteRule ^api/bugtracker/v1/manage(?:/(.*))?$ public/api/bugtracker/v1/manage/index.php [L,QSA]
    RewriteRule ^api/bugtracker/v1/roadmap/?$        public/api/bugtracker/v1/roadmap.php [L,QSA]

    RewriteRule ^api/license/v1(?:/(.*))?$           public/api/license/v1/index.php [L,QSA]
    RewriteRule ^api/watchdog/v1(?:/(.*))?$          public/api/watchdog/v1/index.php [L,QSA]
    RewriteRule ^api/updateservice/v1(?:/(.*))?$     public/api/updateservice/v1/index.php [L,QSA]
    RewriteRule ^api/tokens/v1/provision/?$          public/api/tokens/v1/provision.php [L,QSA]
    RewriteRule ^api/tokens/v1/whoami/?$             public/api/tokens/v1/whoami.php [L,QSA]
    RewriteRule ^api/setup/v1(?:/(.*))?$             public/api/setup/v1/index.php [L,QSA]
    RewriteRule ^api/auth/v1(?:/(.*))?$              public/api/auth/v1/index.php [L,QSA]
    RewriteRule ^api/supervisor/v1(?:/(.*))?$        public/api/supervisor/v1/index.php [L,QSA]

    # Fallback fuer direkt adressierte Dateien unterhalb von /api/
    RewriteRule ^api/(.*)$ public/api/$1 [L,QSA]

    # ------------------------------------------------------------------
    # 3. Oeffentliche Dokumentation (public/docs/)
    #    Muss vor der Sperrregel stehen, sonst wuerde ^docs/ blockiert.
    # ------------------------------------------------------------------
    RewriteRule ^docs/?$      public/docs/index.php [L,QSA]
    RewriteRule ^docs/(.+)$   public/docs/$1 [L,QSA]

    # ------------------------------------------------------------------
    # 3b. Werkzeugkasten fuer die Test-VM (public/testkit/)
    #
    #     TESTUMGEBUNG.md nennt als Bezugsweg
    #       curl -fsSL https://dc.mhdf.de/testkit/dc-testkit.sh
    #     Ohne diese Regel lief der Aufruf in ein 404: ausgeliefert war die
    #     Datei nur unter /public/testkit/. Der dokumentierte Weg hat also
    #     nie funktioniert - was als "Server ist noch zu alt" gedeutet
    #     wurde und in den Behelf per scp fuehrte.
    # ------------------------------------------------------------------
    RewriteRule ^testkit/(.+)$ public/testkit/$1 [L,QSA]

    # ------------------------------------------------------------------
    # 4. WebUI
    # ------------------------------------------------------------------
    RewriteRule ^install_db\.php$ public/install_db.php [L,QSA]
    RewriteRule ^login\.php$      public/login.php [L,QSA]
    RewriteRule ^logout\.php$     public/logout.php [L,QSA]
    RewriteRule ^index\.php$      public/index.php [L,QSA]
    RewriteRule ^$                public/index.php [L,QSA]

    # ------------------------------------------------------------------
    # 5. Alles Uebrige sperren: Anwendungscode, Konfiguration, Skripte
    # ------------------------------------------------------------------
    RewriteRule ^(config|src|sql|scripts|cli|var|client-dotnet|client-php|mcp)(/|$) - [F,L]
    # Auch die Sicherungskopie. deploy.py schliesst beide aus, die Datei
    # sollte also nie hier liegen - aber die zweite Verteidigungslinie muss
    # zur ersten passen, sonst deckt sie genau den Fall nicht ab, fuer den es
    # sie gibt.
    RewriteRule ^Serverdaten\.txt(\..*)?$ - [F,L]
</IfModule>

# ----------------------------------------------------------------------
# Sicherheits-Header
# ----------------------------------------------------------------------
<IfModule mod_headers.c>
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"

    # HSTS: Nach dem ersten Besuch spricht der Browser diese Adresse nur noch
    # ueber TLS an - auch dann, wenn jemand einen http-Link unterschiebt. Die
    # Umleitung weiter unten schuetzt erst ab der zweiten Anfrage; die erste
    # ist genau die, die abgefangen wird.
    #
    # Ohne preload und ohne includeSubDomains waere es die halbe Wirkung; mit
    # includeSubDomains gilt es fuer jede Unteradresse von mhdf.de. Wer hier
    # eine Unteradresse ohne TLS betreibt, macht sie damit unerreichbar - das
    # ist der Preis und der Grund, warum die Zeile bewusst hier steht und
    # nicht in einer Vorlage.
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

    # ------------------------------------------------------------------
    # Content-Security-Policy - und was sie hier NICHT leistet
    # ------------------------------------------------------------------
    # 'unsafe-inline' steht in script-src, und das ist keine Nachlaessigkeit,
    # sondern eine Tatsache ueber den Bestand: index.php enthaelt 93 Inline-
    # Handler (onclick, onsubmit, onchange) und mehrere tausend Zeilen
    # Inline-Skript. Ohne 'unsafe-inline' funktioniert die Oberflaeche nicht -
    # mit ihr schuetzt die Richtlinie nicht gegen eingeschleustes Skript.
    #
    # Das ehrlich hinzuschreiben ist wichtiger, als es zu verschweigen: Eine
    # CSP im Header laedt sonst dazu ein, XSS fuer erledigt zu halten. Was
    # sie hier WIRKLICH leistet:
    #   - kein Skript von fremden Adressen (Exfiltration ueber <script src>)
    #   - keine Einbettung in fremde Seiten (frame-ancestors)
    #   - kein umgebogenes <base> (base-uri)
    #   - keine Formularziele ausserhalb der Anlage (form-action)
    #   - keine Plugins (object-src)
    #
    # Eine Richtlinie mit Nonce, die auch gegen XSS traegt, verlangt das
    # Herausloesen aller Inline-Handler. Das ist ein eigenes Vorhaben und
    # kein Header.
    Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; font-src 'self' https://fonts.gstatic.com; img-src 'self' data:; connect-src 'self'; form-action 'self'; frame-ancestors 'none'; base-uri 'none'; object-src 'none'"
</IfModule>

# ----------------------------------------------------------------------
# Dateischutz auch ohne mod_rewrite
# ----------------------------------------------------------------------
<FilesMatch "^(Serverdaten\.txt(\..*)?|\.env.*|composer\.(json|lock)|deploy_config\.json)$">
    <IfModule mod_authz_core.c>
        Require all denied
    </IfModule>
    <IfModule !mod_authz_core.c>
        Order allow,deny
        Deny from all
    </IfModule>
</FilesMatch>