Benutzer koennen jetzt selbst Zwei-Faktor-Authentifizierung einrichten
und ihr Profil verwalten (Name, E-Mail, Passwort, Profilbild).
Backend:
- Neues MfaModule (src/auth/mfa/): AES-256-GCM-verschluesselte
TOTP-Secrets (otplib), QR-Code-Erzeugung, kurzlebige Setup-/
Challenge-JWTs fuer den 2-Schritt-Login-Flow
- Neues ProfileModule (src/profile/): PATCH /profile,
POST /profile/password, POST/DELETE/GET /profile/avatar,
POST /profile/mfa/enroll(/confirm), POST /profile/mfa/disable -
alle self-scoped ueber actor.id, ohne @RequirePermission (siehe
ALLOWLIST in authorization-coverage.e2e-spec.ts)
- AuthService.login() zweistufig: bei aktivem MFA erst
{ mfaRequired, mfaToken } statt Tokens, neuer Endpunkt
POST /auth/mfa/verify schliesst den Flow ab
- Admin-Recovery: POST /users/:id/mfa/reset (users:update) fuer
verlorene MFA-Geraete, da es keinen E-Mail-Reset-Flow gibt
Frontend:
- Login-Seite mit zweitem Schritt fuer den TOTP-Code
- Neue Profilseite (/profile, ausserhalb des admin-only
Settings-Bereichs): Profilbild, Name/E-Mail, Passwort, MFA-Ein-/
Ausrichtung mit QR-Code-Dialog
- Header zeigt jetzt Avatar mit Dropdown (Profil/Abmelden) statt
nur E-Mail-Text
- Admin-Users-Tabelle zeigt MFA-Status + Reset-Button
Haertung nach Security-Review (Backend/Frontend-Diff, kein CRITICAL,
mehrere MEDIUM behoben):
- Access-Token wird bei Passwortwechsel sofort ungueltig
(User.passwordChangedAt + JWT-iat-Vergleich in
PermissionResolverService.isTokenValid, vorher isUserActive) statt
erst nach bis zu 15 Minuten
- E-Mail-Aenderung verlangt jetzt aktuelles Passwort
- POST /profile/password und /profile/mfa/disable haben jetzt das
gleiche strikte Throttling wie Login (SENSITIVE_ACTION_THROTTLE)
- Kein stiller leerer Verschluesselungs-Key-Fallback mehr (wirft
jetzt explizit)
Bewusst zurueckgestellt (dokumentiert, kein aktiver Exploit-Pfad):
dedizierter Verschluesselungs-Key fuer MFA-Secrets statt
JWT_ACCESS_SECRET-Ableitung, dedizierte users:mfa-reset-Permission
statt users:update, separate JWT-Secrets pro Token-Zweck.
Verifiziert: tsc/eslint clean, 297/297 Backend- + 31/31
Frontend-Unit-Tests, Build clean auf beiden Projekten. e2e weiterhin
durch bekanntes WSL2/Postgres-Problem blockiert. Unabhaengiges
Security- und Code-Quality-Review durchgefuehrt (0 CRITICAL, 0 HIGH).
91 lines
3.1 KiB
TypeScript
91 lines
3.1 KiB
TypeScript
"use client";
|
|
|
|
import { ReactNode, useEffect } from "react";
|
|
import Link from "next/link";
|
|
import { useRouter } from "next/navigation";
|
|
import { Hexagon } from "lucide-react";
|
|
import { useAuth } from "@/lib/auth/auth-context";
|
|
import { NotificationBell } from "@/components/notification-bell";
|
|
import { OfflineSyncBadge } from "@/components/offline-sync-badge";
|
|
import { UserAvatar } from "@/components/user-avatar";
|
|
import {
|
|
DropdownMenu,
|
|
DropdownMenuContent,
|
|
DropdownMenuItem,
|
|
DropdownMenuLabel,
|
|
DropdownMenuSeparator,
|
|
DropdownMenuTrigger,
|
|
} from "@/components/ui/dropdown-menu";
|
|
import { Sidebar } from "./sidebar";
|
|
import { BottomNav } from "./bottom-nav";
|
|
import { QuickAddMenu } from "./quick-add-menu";
|
|
import { PageTransition } from "./page-transition";
|
|
|
|
export default function AppLayout({ children }: { children: ReactNode }) {
|
|
const router = useRouter();
|
|
const { user, isLoading, logout } = useAuth();
|
|
|
|
useEffect(() => {
|
|
if (!isLoading && !user) {
|
|
router.replace("/login");
|
|
}
|
|
}, [isLoading, user, router]);
|
|
|
|
if (isLoading || !user) {
|
|
return null;
|
|
}
|
|
|
|
return (
|
|
<div className="flex min-h-screen">
|
|
<Sidebar user={user} />
|
|
<div className="flex min-w-0 flex-1 flex-col">
|
|
<header className="sticky top-0 z-10 flex items-center justify-between gap-3 bg-card/85 px-4 py-3 shadow-[var(--shadow-soft)] backdrop-blur-md sm:justify-end sm:px-6">
|
|
<Link
|
|
href="/dashboard"
|
|
className="flex items-center gap-1.5 font-heading font-semibold sm:hidden"
|
|
>
|
|
<span
|
|
className="flex size-7 items-center justify-center rounded-lg"
|
|
style={{ background: "var(--gradient-honey)" }}
|
|
>
|
|
<Hexagon className="size-4 fill-white/25 text-white" strokeWidth={2.25} />
|
|
</span>
|
|
ApiCore
|
|
</Link>
|
|
<div className="flex shrink-0 items-center gap-2 text-sm">
|
|
<OfflineSyncBadge />
|
|
<NotificationBell />
|
|
<DropdownMenu>
|
|
<DropdownMenuTrigger className="rounded-full">
|
|
<UserAvatar name={user.name} hasAvatar={user.hasAvatar} size="sm" />
|
|
</DropdownMenuTrigger>
|
|
<DropdownMenuContent align="end">
|
|
<DropdownMenuLabel className="max-w-48 truncate font-normal text-muted-foreground">
|
|
{user.email}
|
|
</DropdownMenuLabel>
|
|
<DropdownMenuSeparator />
|
|
<DropdownMenuItem render={<Link href="/profile" />}>
|
|
Profil
|
|
</DropdownMenuItem>
|
|
<DropdownMenuItem
|
|
variant="destructive"
|
|
onClick={() => {
|
|
void logout().then(() => router.push("/login"));
|
|
}}
|
|
>
|
|
Abmelden
|
|
</DropdownMenuItem>
|
|
</DropdownMenuContent>
|
|
</DropdownMenu>
|
|
</div>
|
|
</header>
|
|
<div className="flex-1 overflow-y-auto pb-16 sm:pb-0">
|
|
<PageTransition>{children}</PageTransition>
|
|
</div>
|
|
</div>
|
|
<BottomNav />
|
|
<QuickAddMenu />
|
|
</div>
|
|
);
|
|
}
|