Deploymentcenter BotandClaude Opus 5
e7fbc85db4
Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.
Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
RateLimiter.
Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
"up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.
Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
damit bestehende Installationen keine Beispieldaten zurückbekommen.
Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.
WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.
Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
92 lines
2.8 KiB
PHP
92 lines
2.8 KiB
PHP
<?php
|
|
|
|
/**
|
|
* POST /api/tokens/v1/provision
|
|
*
|
|
* Selbst-Provisionierung: Eine Client-Anwendung oder ein Agent tauscht ein
|
|
* langlebiges Master-Token gegen ein eigenes Sub-Token ein. Rechte und
|
|
* Umgebung koennen dabei nur eingeschraenkt, niemals erweitert werden.
|
|
*
|
|
* Das Master-Token wird per X-Master-Token oder Authorization: Bearer
|
|
* uebergeben. Die Uebergabe im Request-Body wird nicht mehr akzeptiert -
|
|
* Bodies landen haeufiger in Logs und Fehlermeldungen als Header.
|
|
*/
|
|
|
|
declare(strict_types=1);
|
|
|
|
require_once __DIR__ . '/../../../../src/bootstrap.php';
|
|
|
|
use Deploymentcenter\Core\Db;
|
|
use Deploymentcenter\Core\Http;
|
|
use Deploymentcenter\Core\Logger;
|
|
use Deploymentcenter\Core\TokenManager;
|
|
use Deploymentcenter\Modules\License\RateLimiter;
|
|
|
|
Http::beginJson(['POST', 'OPTIONS'], true);
|
|
|
|
if (Http::method() !== 'POST') {
|
|
Http::fail(405, 'method_not_allowed', 'Dieser Endpunkt erwartet POST.');
|
|
}
|
|
|
|
$db = Db::init();
|
|
|
|
// Provisionierung ist selten - eine enge Drosselung verhindert das
|
|
// Durchprobieren von Master-Tokens.
|
|
$limiter = new RateLimiter($db, 20, 60, 'token_provision');
|
|
if (!$limiter->check(Http::clientIp())) {
|
|
Http::fail(429, 'rate_limited', 'Zu viele Provisionierungsversuche.');
|
|
}
|
|
|
|
$masterToken = Http::bearerToken();
|
|
if ($masterToken === null) {
|
|
Http::fail(
|
|
401,
|
|
'missing_master_token',
|
|
'Master-Token fehlt. Erwartet im Header X-Master-Token oder als Authorization: Bearer <token>.'
|
|
);
|
|
}
|
|
|
|
$data = Http::body();
|
|
|
|
$name = Http::str('client_name') ?? Http::str('name') ?? 'Auto-provisioniertes Sub-Token';
|
|
$instanceIdentity = Http::str('instance_id') ?? Http::str('hostname');
|
|
$environment = Http::str('environment') ?? 'all';
|
|
|
|
$requestedScopes = $data['scopes'] ?? [];
|
|
if (is_string($requestedScopes)) {
|
|
$requestedScopes = array_map('trim', explode(',', $requestedScopes));
|
|
}
|
|
if (!is_array($requestedScopes)) {
|
|
$requestedScopes = [];
|
|
}
|
|
|
|
$manager = new TokenManager($db);
|
|
|
|
try {
|
|
$subToken = $manager->provisionSubToken(
|
|
$masterToken,
|
|
$name,
|
|
$instanceIdentity,
|
|
$requestedScopes,
|
|
$environment
|
|
);
|
|
} catch (InvalidArgumentException $e) {
|
|
Logger::warning('Provisionierung abgelehnt', [
|
|
'ip' => Http::clientIp(),
|
|
'reason' => $e->getMessage(),
|
|
]);
|
|
Http::fail(403, 'provision_denied', $e->getMessage());
|
|
}
|
|
|
|
Http::ok([
|
|
'sub_token' => $subToken['raw_token'],
|
|
'token_id' => $subToken['token_id'],
|
|
'name' => $subToken['name'],
|
|
'scopes' => $subToken['scopes'],
|
|
'environment' => $subToken['environment'],
|
|
'expires_at' => $subToken['expires_at'],
|
|
'type' => 'sub',
|
|
'created_at' => gmdate('Y-m-d H:i:s'),
|
|
'message' => 'Sub-Token erstellt. Der Wert wird nur einmal ausgeliefert - bitte sicher speichern.',
|
|
], 201);
|