Richard/Deploymentcenter
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
e7fbc85db457975ce9c71b8adfe59a8d470e0805
Deploymentcenter/public/docs/index.php
T
Deploymentcenter BotandClaude Opus 5 e7fbc85db4 fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow 
Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-07 16:17:36 +02:00

163 lines
5.1 KiB
PHP
Raw Blame History

<?php
declare(strict_types=1);
$mdPath = __DIR__ . '/bugtracker.md';
$markdownContent = file_exists($mdPath) ? file_get_contents($mdPath) : '# Documentation Not Found';
// If requested as raw text / markdown
if (isset($_GET['raw']) || (isset($_SERVER['HTTP_ACCEPT']) && str_contains($_SERVER['HTTP_ACCEPT'], 'text/plain'))) {
header('Content-Type: text/plain; charset=utf-8');
echo $markdownContent;
exit;
}
?>
<!DOCTYPE html>
<html lang="de">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Deployment Center - Developer & Agent Documentation</title>
<link href="https://fonts.googleapis.com/css2?family=Inter:wght@400;500;600;700&family=Fira+Code:wght@400;600&display=swap" rel="stylesheet">
<script src="https://cdn.jsdelivr.net/npm/marked/marked.min.js"></script>
<style>
:root {
--bg: #0b0f19;
--card-bg: #141b2d;
--accent: #5b9dff;
--text: #e2e8f0;
--text-muted: #94a3b8;
--border: rgba(255, 255, 255, 0.08);
--code-bg: #080c14;
}
* { box-sizing: border-box; margin: 0; padding: 0; }
body {
font-family: 'Inter', system-ui, sans-serif;
background: var(--bg);
color: var(--text);
line-height: 1.6;
padding: 2rem 1rem;
}
.container {
max-width: 900px;
margin: 0 auto;
background: var(--card-bg);
border: 1px solid var(--border);
border-radius: 12px;
padding: 2.5rem;
box-shadow: 0 20px 40px rgba(0,0,0,0.5);
}
.header-bar {
display: flex;
justify-content: space-between;
align-items: center;
border-bottom: 1px solid var(--border);
padding-bottom: 1.5rem;
margin-bottom: 2rem;
}
.header-bar h1 {
font-size: 1.4rem;
color: #fff;
display: flex;
align-items: center;
gap: 0.5rem;
}
.btn {
display: inline-flex;
align-items: center;
gap: 0.4rem;
padding: 0.5rem 1rem;
background: rgba(91, 157, 255, 0.15);
color: var(--accent);
border: 1px solid var(--accent);
border-radius: 6px;
text-decoration: none;
font-size: 0.85rem;
font-weight: 600;
transition: all 0.2s;
}
.btn:hover {
background: var(--accent);
color: #fff;
}
#docContent h1, #docContent h2, #docContent h3 {
color: #fff;
margin-top: 1.8rem;
margin-bottom: 0.8rem;
}
#docContent h1 { font-size: 1.8rem; border-bottom: 1px solid var(--border); padding-bottom: 0.5rem; }
#docContent h2 { font-size: 1.4rem; color: var(--accent); }
#docContent h3 { font-size: 1.1rem; }
#docContent p { margin-bottom: 1rem; color: #cbd5e1; }
#docContent ul, #docContent ol { margin-left: 1.5rem; margin-bottom: 1rem; color: #cbd5e1; }
#docContent li { margin-bottom: 0.4rem; }
#docContent code {
font-family: 'Fira Code', monospace;
background: rgba(255, 255, 255, 0.08);
padding: 0.2rem 0.4rem;
border-radius: 4px;
font-size: 0.88rem;
color: #38bdf8;
}
#docContent pre {
background: var(--code-bg);
border: 1px solid var(--border);
border-radius: 8px;
padding: 1.25rem;
overflow-x: auto;
margin: 1rem 0 1.5rem 0;
}
#docContent pre code {
background: transparent;
padding: 0;
color: #e2e8f0;
font-size: 0.85rem;
}
#docContent blockquote {
border-left: 4px solid var(--accent);
background: rgba(91, 157, 255, 0.05);
padding: 0.75rem 1rem;
margin: 1rem 0;
border-radius: 0 6px 6px 0;
}
</style>
</head>
<body>
<div class="container">
<div class="header-bar">
<h1>🚀 Deployment Center API & Agent Documentation</h1>
<div>
<a href="bugtracker.md" target="_blank" rel="noopener" class="btn">📄 Rohtext (.md)</a>
<!--
Der frühere Link auf die Projects-API ist entfallen: sie
verlangt jetzt ein Token und liefert im Browser nur noch 401.
Stattdessen die maschinenlesbare Schnittstellenbeschreibung,
die ohne Token abrufbar ist.
-->
<a href="../api/openapi.php" target="_blank" rel="noopener" class="btn">🔌 OpenAPI (JSON)</a>
</div>
</div>
<div id="docContent">Loading documentation...</div>
</div>
<script>
const rawMarkdown = <?= json_encode($markdownContent) ?>;
document.getElementById('docContent').innerHTML = marked.parse(rawMarkdown);
</script>
</body>
</html>
Reference in New Issue View Git Blame Copy Permalink