Deploymentcenter BotandClaude Opus 5
c8f3e78635
Bisher gab es nur den Update-Weg: eine Anwendung musste bereits installiert und eingerichtet sein, damit sich etwas aktualisieren liess. Die Erstinstallation auf einem neuen System war Handarbeit - Paket kopieren, Konfiguration abtippen, Token besorgen. Setup-API (neu) - POST /api/setup/v1/login tauscht Benutzername und Passwort gegen ein Token mit 30 Minuten Gueltigkeit und ausschliesslich setup:install. Es wird nicht mitgeschrieben und lebt im Installer nur im Speicher. - GET /api/setup/v1/catalog zeigt nur, was zur Laufzeitkennung des anfragenden Systems passt. Ein Projekt mit ausschliesslich Windows-Paket taucht auf einem Linux-Rechner gar nicht erst auf. - POST /api/setup/v1/token stellt das Dauertoken der Anwendung aus. Welche Rechte vergeben werden, entscheidet der Server; die Anfrage kann nur einschraenken. Sonst waere der Umweg ueber ein kurzlebiges Token wirkungslos. Rollentrennung (Migration 012) - dc_users bekommt role, disabled und last_login_at. Die Rolle "installer" darf sich ueber den Setup-Weg anmelden und nicht am WebUI. Die Zugangsdaten werden auf jedem Zielsystem eingetippt; mit einem Administratorkonto verteilte man damit den Zugang zu Tokens, Lizenzen und Monitoren auf jeden Rechner, auf dem je etwas installiert wurde. - Auth::verifyCredentials() prueft sessionfrei, damit Setup- und WebUI-Login nicht zwei verschiedene Haertungsgrade haben (Drosselung, Timing-Angleichung, Rehash gelten fuer beide). - Konten mit hinterlegtem TOTP-Geheimnis werden am Setup-Weg mit 501 abgewiesen. Eine TOTP-Pruefung gibt es im Deploymentcenter noch nicht; sie stillschweigend zu uebergehen waere ein Rueckschritt. - Benutzerverwaltung im WebUI - es gab bisher gar keine, nur den einen von install_db.php angelegten Admin. Das letzte aktive Administratorkonto laesst sich weder deaktivieren noch loeschen. Installer - update-agent --action install fuehrt durch Anmeldung, Auswahl, Zielverzeichnis, Installation und Einrichtung. Die Dateien kommen ueber denselben Pfad wie ein Update - mit Pruefsumme, Signatur, Staging und Rollback. Ein zweiter Download-Weg waere ein zweiter Ort fuer dieselben Fehler. - --action configure holt die Einrichtung nachtraeglich. - setup.json im Paket beschreibt die benoetigten Werte. Bewusst im Paket und nicht zentral: so ist sie mit der Anwendung versioniert. - Gefragt wird nur, was uebrig bleibt: bereits gesetzt -> detect:... -> provision -> fragen. Platzhalter wie changeme oder <dein-wert> gelten dabei nicht als eingerichtet, sonst liefe die Anwendung mit der Vorlage los. - SetupWriter erhaelt vorhandene Inhalte. Eine appsettings.json fuehrt neben den abgefragten Werten meist Logging und anderes; sie neu zu erzeugen waere bequemer und verloere das - bei einer Neuinstallation ohne Backup. int und bool landen als JSON-Typ, nicht als Zeichenkette. Downloads - scripts/build_installer.ps1 baut selbstenthaltende Einzeldateien fuer win-x64, linux-x64 und linux-arm64 (rund 34 MB, .NET-Laufzeit inbegriffen). Ohne NativeAOT und ohne Trimming: Spectre.Console loest ueber Reflexion auf und braeche sonst erst beim Anwender. - scripts/upload_installer.py laedt sie nach /installer/. Getrennt von deploy.py, das client-dotnet bewusst ausklammert. - Bereich "Installer" auf der UpdateService-Seite mit Groessen, Pruefsummen und den wget-Befehlen; die Angaben stammen aus installer.json statt aus fest eingetragenem Text. - install.sh und install.ps1 laden, pruefen die Pruefsumme und legen ab - sie richten bewusst nichts selbst ein. Das Manifest wird BOM-frei geschrieben, sonst scheitert json_decode() daran. Enthaelt ausserdem die bislang nicht committete Arbeit an den RocketChat-Benachrichtigungen (Migrationen 010 und 011) sowie die Loesch- und Editierfunktion des UpdateService; die betroffenen Dateien liessen sich nicht getrennt stagen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
86 lines
4.1 KiB
ApacheConf
86 lines
4.1 KiB
ApacheConf
# Deploymentcenter - Front-Controller-Routing
|
|
#
|
|
# Reihenfolge ist bewusst gewaehlt: erst die Routen (jeweils mit [L]), danach
|
|
# die Sperrregeln fuer alles, was nicht geroutet wurde. Zusaetzlich liegt in
|
|
# config/, src/ und sql/ jeweils eine eigene .htaccess als zweite
|
|
# Verteidigungslinie, falls mod_rewrite oder AllowOverride ausfaellt.
|
|
|
|
Options -Indexes
|
|
|
|
<IfModule mod_rewrite.c>
|
|
RewriteEngine On
|
|
|
|
# Bereits umgeschriebene Anfragen nicht erneut anfassen.
|
|
RewriteRule ^public/ - [L]
|
|
|
|
# ------------------------------------------------------------------
|
|
# 1. Statische Assets
|
|
# ------------------------------------------------------------------
|
|
RewriteRule ^assets/(.*)$ public/assets/$1 [L,QSA]
|
|
|
|
# ------------------------------------------------------------------
|
|
# 2. API
|
|
# ------------------------------------------------------------------
|
|
RewriteRule ^api/health/?$ public/api/health.php [L,QSA]
|
|
RewriteRule ^api/openapi(?:\.json)?/?$ public/api/openapi.php [L,QSA]
|
|
|
|
RewriteRule ^api/errors/v1/report/?$ public/api/errors/v1/report.php [L,QSA]
|
|
RewriteRule ^api/bugtracker/v1/report/?$ public/api/bugtracker/v1/report.php [L,QSA]
|
|
RewriteRule ^api/bugtracker/v1/projects/?$ public/api/bugtracker/v1/projects.php [L,QSA]
|
|
RewriteRule ^api/bugtracker/v1/manage(?:/(.*))?$ public/api/bugtracker/v1/manage/index.php [L,QSA]
|
|
|
|
RewriteRule ^api/license/v1(?:/(.*))?$ public/api/license/v1/index.php [L,QSA]
|
|
RewriteRule ^api/watchdog/v1(?:/(.*))?$ public/api/watchdog/v1/index.php [L,QSA]
|
|
RewriteRule ^api/updateservice/v1(?:/(.*))?$ public/api/updateservice/v1/index.php [L,QSA]
|
|
RewriteRule ^api/tokens/v1/provision/?$ public/api/tokens/v1/provision.php [L,QSA]
|
|
RewriteRule ^api/setup/v1(?:/(.*))?$ public/api/setup/v1/index.php [L,QSA]
|
|
|
|
# Fallback fuer direkt adressierte Dateien unterhalb von /api/
|
|
RewriteRule ^api/(.*)$ public/api/$1 [L,QSA]
|
|
|
|
# ------------------------------------------------------------------
|
|
# 3. Oeffentliche Dokumentation (public/docs/)
|
|
# Muss vor der Sperrregel stehen, sonst wuerde ^docs/ blockiert.
|
|
# ------------------------------------------------------------------
|
|
RewriteRule ^docs/?$ public/docs/index.php [L,QSA]
|
|
RewriteRule ^docs/(.+)$ public/docs/$1 [L,QSA]
|
|
|
|
# ------------------------------------------------------------------
|
|
# 4. WebUI
|
|
# ------------------------------------------------------------------
|
|
RewriteRule ^install_db\.php$ public/install_db.php [L,QSA]
|
|
RewriteRule ^login\.php$ public/login.php [L,QSA]
|
|
RewriteRule ^logout\.php$ public/logout.php [L,QSA]
|
|
RewriteRule ^index\.php$ public/index.php [L,QSA]
|
|
RewriteRule ^$ public/index.php [L,QSA]
|
|
|
|
# ------------------------------------------------------------------
|
|
# 5. Alles Uebrige sperren: Anwendungscode, Konfiguration, Skripte
|
|
# ------------------------------------------------------------------
|
|
RewriteRule ^(config|src|sql|scripts|cli|var|client-dotnet)(/|$) - [F,L]
|
|
RewriteRule ^Serverdaten\.txt$ - [F,L]
|
|
</IfModule>
|
|
|
|
# ----------------------------------------------------------------------
|
|
# Sicherheits-Header
|
|
# ----------------------------------------------------------------------
|
|
<IfModule mod_headers.c>
|
|
Header always set X-Content-Type-Options "nosniff"
|
|
Header always set X-Frame-Options "SAMEORIGIN"
|
|
Header always set Referrer-Policy "strict-origin-when-cross-origin"
|
|
Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"
|
|
</IfModule>
|
|
|
|
# ----------------------------------------------------------------------
|
|
# Dateischutz auch ohne mod_rewrite
|
|
# ----------------------------------------------------------------------
|
|
<FilesMatch "^(Serverdaten\.txt|\.env.*|composer\.(json|lock)|deploy_config\.json)$">
|
|
<IfModule mod_authz_core.c>
|
|
Require all denied
|
|
</IfModule>
|
|
<IfModule !mod_authz_core.c>
|
|
Order allow,deny
|
|
Deny from all
|
|
</IfModule>
|
|
</FilesMatch>
|