4 Commits

Include renames

Author	SHA1	Message	Date
Nick Szaunig	9785eb221f	fix(auth): Anmeldung unter Node 24 (Proxy um NextRequest) ... Next reicht Route-Handlern einen Proxy um NextRequest. undici 7 (Node 24) prueft private Felder (#state), die ein Proxy nicht besitzt; new Request(request) warf "Cannot read private member #state" und jede /api/auth-Anfrage endete lokal mit 500. Produktion (Node 22, undici 6) war nicht betroffen. withClientIp baut die Anfrage jetzt aus URL, Methode, Headern und Body neu. Regressionstest mit einem Proxy wie in Next.	2026-10-15 05:10:51 +02:00
Nick SzaunigandClaude Opus 5.5	5a88f3dcd6	fix: Client-IP haerten (CF-Connecting-IP, X-Real-IP, Admin-Session) ... - CF-Connecting-IP gilt nur noch als oeffentliche Unicast-Adresse (nicht 0/8, 10/8, 100.64/10, 127/8, 169.254/16, 172.16/12, 192.168/16, 240/4, Broadcast, ::, ::1, fc00::/7, fe80::/10, ::ffff:privat); sonst gilt die Gegenstelle. - X-Real-IP ohne X-Forwarded-For nur noch ausserhalb von Produktion; in Produktion ergibt das "unknown". - Neuer Helfer headersWithClientIp, von withClientIp und der Admin-Session-Pruefung genutzt: ein vom Client gesendeter x-artista-client-ip-Wert wird nie geglaubt. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>	2026-10-12 11:26:56 +02:00
Nick SzaunigandClaude Opus 5.5	e6fa383934	fix(security): eigene Rate-Limits zaehlen IPv6 je /64-Netz ... consumeRateLimit bekommt IPv6-Adressen als /64-Praefix (rateLimitSubject): ein Anschluss hat meist ein ganzes /64 und koennte sonst durch Adresswechsel jedes Limit umgehen. better-auth bekommt weiter die einzelne Adresse und normalisiert sie selbst auf /64 (ipv6Subnet, Standard 64). Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>	2026-10-12 10:06:28 +02:00
Nick SzaunigandClaude Opus 5.5	f75a5f7769	fix(security): Client-IP nicht aus X-Real-IP, better-auth nur mit Server-Wert ... Traefik vertraut seit 2026-10-12 den weitergeleiteten Headern aus Cloudflare-Netzen. Wer eine eigene Cloudflare-Zone auf den Server zeigen laesst, konnte damit X-Real-IP und den ersten X-Forwarded-For-Eintrag faelschen und die Rate-Limits (Buchung, Kontakt, Login, 2FA) umgehen. - clientIp: Gegenstelle ist der letzte X-Forwarded-For-Eintrag (von Traefik angehaengt); CF-Connecting-IP nur, wenn sie eine Cloudflare-Edge ist. - better-auth liest nur noch x-artista-client-ip, den der Auth-Endpunkt per withClientIp setzt (ein mitgeschickter Wert wird ersetzt). Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>	2026-10-12 09:49:58 +02:00