Protokoll im Adminbereich, ein Knopf für das ganze Blatt
Die restlichen zwei Änderungswünsche. **Protokoll.** „Wer was wo macht" stand seit dem ersten Tag in AuditLog - harte Regel 3 sorgt dafür. Was fehlte, war die Ansicht darauf. /admin/protokoll ist genau das und keine zweite Aufzeichnung: filterbar nach Person, Aktion, Art und Zeitraum, rückwärts blätternd. Nur für die Leitung. Eine Zeile nennt Aktenzeichen und Namen, und schon die Existenz einer Zeile verrät, dass es einen Vorgang gibt; ein gefiltertes Protokoll für alle wäre ein Weg, die Sichtbarkeitsregeln von hinten aufzurollen. Aus demselben Grund werden Kennungen ohne Sichtbarkeitsfilter zu Aktenzeichen aufgelöst - ein Protokoll aus UUIDs liest niemand, und eines, das niemand liest, ist keine Kontrolle. **Speichern.** Jedes Feld trug seinen eigenen Knopf: ein Arbeitsvertrag mit zwölf Feldern hiess zwölfmal speichern. Der Knopf steht jetzt am Blatt. Geschrieben wird trotzdem je Feld und nicht als Transaktion, und das folgt aus dem Datenmodell: Abschnitte sind einzeln versioniert, weil mehrere Leute gleichzeitig an einer Akte arbeiten. Als Transaktion blockierte ein einziges zwischenzeitlich geändertes Feld das ganze Blatt - elf gute Änderungen verloren, weil jemand das zwölfte angefasst hat. So geht durch, was durchgeht, und die Rückmeldung sagt, was offen blieb und wo. Lichtbilder bleiben ausgenommen: ein Upload mit Prüfkette ist keine Feldänderung. lib/audit.ts liegt jetzt als lib/audit/write.ts neben lib/audit/query.ts.
This commit is contained in:
Harlekin
@@ -0,0 +1,183 @@
|
||||
import { db } from '@/lib/db'
|
||||
import type { Prisma } from '@afis/db'
|
||||
|
||||
/**
|
||||
* Das Zugriffsprotokoll lesen.
|
||||
*
|
||||
* Es ist die einzige Stelle im System, die vollständig Auskunft gibt: wer hat
|
||||
* wann was getan, und bei Stufe 3 aufwärts auch, wer was nur gelesen hat. Nach
|
||||
* harter Regel 3 aus CLAUDE.md entsteht diese Spur bei jeder schreibenden
|
||||
* Aktion, ohne Ausnahme und ohne Möglichkeit, sie zu unterdrücken.
|
||||
*
|
||||
* Lesen darf sie **nur die Abteilungsleitung**. Das ist keine Bequemlichkeit,
|
||||
* sondern folgt aus dem, was drinsteht: eine Zeile nennt Aktenzeichen und
|
||||
* Namen, und schon die Existenz einer Zeile verrät, dass es einen Vorgang
|
||||
* gibt. Ein gefiltertes Protokoll für alle wäre ein Weg, die Sichtbarkeits-
|
||||
* regeln von hinten aufzurollen.
|
||||
*/
|
||||
|
||||
export const AUDIT_PAGE = 50
|
||||
|
||||
export type AuditFilter = {
|
||||
actorId?: string
|
||||
action?: string
|
||||
targetType?: string
|
||||
targetId?: string
|
||||
from?: Date
|
||||
to?: Date
|
||||
/** Kennung der ältesten schon gezeigten Zeile, zum Weiterblättern. */
|
||||
before?: bigint
|
||||
}
|
||||
|
||||
export type AuditRow = {
|
||||
id: string
|
||||
at: Date
|
||||
actorId: string
|
||||
actorName: string
|
||||
action: string
|
||||
targetType: string
|
||||
targetId: string
|
||||
/** Aktenzeichen, Name oder Dokumentnummer — was man wiedererkennt. */
|
||||
targetLabel: string | null
|
||||
targetHref: string | null
|
||||
clearanceAtTime: number
|
||||
meta: Prisma.JsonValue
|
||||
}
|
||||
|
||||
export async function queryAuditLog(
|
||||
filter: AuditFilter,
|
||||
): Promise<{ rows: AuditRow[]; more: boolean }> {
|
||||
const where: Prisma.AuditLogWhereInput = {
|
||||
...(filter.actorId ? { actorId: filter.actorId } : {}),
|
||||
...(filter.action ? { action: filter.action } : {}),
|
||||
...(filter.targetType ? { targetType: filter.targetType } : {}),
|
||||
...(filter.targetId ? { targetId: filter.targetId } : {}),
|
||||
...(filter.before ? { id: { lt: filter.before } } : {}),
|
||||
...(filter.from || filter.to
|
||||
? {
|
||||
at: {
|
||||
...(filter.from ? { gte: filter.from } : {}),
|
||||
...(filter.to ? { lte: filter.to } : {}),
|
||||
},
|
||||
}
|
||||
: {}),
|
||||
}
|
||||
|
||||
// Eine Zeile mehr holen, als gezeigt wird: daran hängt der Knopf zum
|
||||
// Weiterblättern, ohne dass eine zweite Zählabfrage nötig wäre.
|
||||
const zeilen = await db.auditLog.findMany({
|
||||
where,
|
||||
orderBy: { id: 'desc' },
|
||||
take: AUDIT_PAGE + 1,
|
||||
})
|
||||
|
||||
const seite = zeilen.slice(0, AUDIT_PAGE)
|
||||
const namen = await namenVon(seite.map((zeile) => zeile.actorId))
|
||||
const ziele = await zieleVon(seite)
|
||||
|
||||
return {
|
||||
rows: seite.map((zeile) => {
|
||||
const ziel = ziele.get(`${zeile.targetType}:${zeile.targetId}`)
|
||||
return {
|
||||
id: zeile.id.toString(),
|
||||
at: zeile.at,
|
||||
actorId: zeile.actorId,
|
||||
actorName: namen.get(zeile.actorId) ?? zeile.actorId,
|
||||
action: zeile.action,
|
||||
targetType: zeile.targetType,
|
||||
targetId: zeile.targetId,
|
||||
targetLabel: ziel?.label ?? null,
|
||||
targetHref: ziel?.href ?? null,
|
||||
clearanceAtTime: zeile.clearanceAtTime,
|
||||
meta: zeile.meta,
|
||||
}
|
||||
}),
|
||||
more: zeilen.length > AUDIT_PAGE,
|
||||
}
|
||||
}
|
||||
|
||||
async function namenVon(ids: string[]): Promise<Map<string, string>> {
|
||||
if (ids.length === 0) return new Map()
|
||||
const nutzer = await db.user.findMany({
|
||||
where: { id: { in: [...new Set(ids)] } },
|
||||
select: { id: true, displayName: true },
|
||||
})
|
||||
return new Map(nutzer.map((n) => [n.id, n.displayName]))
|
||||
}
|
||||
|
||||
/**
|
||||
* Aus Kennungen werden Aktenzeichen und Namen.
|
||||
*
|
||||
* Ohne das steht im Protokoll eine Spalte UUIDs, und niemand liest es. Der
|
||||
* Nachschlag läuft **ohne** Sichtbarkeitsfilter — das Protokoll ist die
|
||||
* Ausnahme, die es geben muss, damit die Leitung prüfen kann, ob die Regeln
|
||||
* eingehalten wurden. Genau deshalb kommt hier auch nur die Leitung hin.
|
||||
*/
|
||||
async function zieleVon(
|
||||
zeilen: { targetType: string; targetId: string }[],
|
||||
): Promise<Map<string, { label: string; href: string | null }>> {
|
||||
const je = (art: string): string[] => [
|
||||
...new Set(zeilen.filter((z) => z.targetType === art).map((z) => z.targetId)),
|
||||
]
|
||||
|
||||
const fallIds = je('Case')
|
||||
const personIds = je('PersonnelFile')
|
||||
const dokumentIds = je('Document')
|
||||
|
||||
const [faelle, personen, dokumente] = await Promise.all([
|
||||
fallIds.length
|
||||
? db.case.findMany({
|
||||
where: { id: { in: fallIds } },
|
||||
select: { id: true, caseNumber: true },
|
||||
})
|
||||
: Promise.resolve([]),
|
||||
personIds.length
|
||||
? db.personnelFile.findMany({
|
||||
where: { id: { in: personIds } },
|
||||
select: { id: true, displayName: true },
|
||||
})
|
||||
: Promise.resolve([]),
|
||||
dokumentIds.length
|
||||
? db.document.findMany({
|
||||
where: { id: { in: dokumentIds } },
|
||||
select: { id: true, documentNumber: true },
|
||||
})
|
||||
: Promise.resolve([]),
|
||||
])
|
||||
|
||||
const karte = new Map<string, { label: string; href: string | null }>()
|
||||
for (const akte of faelle) {
|
||||
karte.set(`Case:${akte.id}`, {
|
||||
label: akte.caseNumber,
|
||||
href: `/faelle/${akte.caseNumber}`,
|
||||
})
|
||||
}
|
||||
for (const person of personen) {
|
||||
karte.set(`PersonnelFile:${person.id}`, {
|
||||
label: person.displayName,
|
||||
href: `/personalakten/${person.id}`,
|
||||
})
|
||||
}
|
||||
for (const dokument of dokumente) {
|
||||
karte.set(`Document:${dokument.id}`, {
|
||||
label: dokument.documentNumber,
|
||||
href: `/dokumente/${dokument.documentNumber}`,
|
||||
})
|
||||
}
|
||||
return karte
|
||||
}
|
||||
|
||||
/** Die Akteure, die überhaupt im Protokoll vorkommen — für die Auswahlliste. */
|
||||
export async function auditActors(): Promise<{ id: string; name: string }[]> {
|
||||
const gruppen = await db.auditLog.groupBy({ by: ['actorId'], _count: { actorId: true } })
|
||||
const namen = await namenVon(gruppen.map((g) => g.actorId))
|
||||
return gruppen
|
||||
.map((g) => ({ id: g.actorId, name: namen.get(g.actorId) ?? g.actorId }))
|
||||
.sort((a, b) => a.name.localeCompare(b.name, 'de'))
|
||||
}
|
||||
|
||||
/** Die Aktionen, die tatsächlich vorkommen. Keine leeren Filtereinträge. */
|
||||
export async function auditActions(): Promise<string[]> {
|
||||
const gruppen = await db.auditLog.groupBy({ by: ['action'] })
|
||||
return gruppen.map((g) => g.action).sort()
|
||||
}
|
||||
@@ -0,0 +1,124 @@
|
||||
import type { Prisma } from '@afis/db'
|
||||
import { db } from '@/lib/db'
|
||||
|
||||
/**
|
||||
* Zugriffsprotokoll. Zweite, unabhängige Spur neben der Versionstabelle.
|
||||
*
|
||||
* Zwei Wege, aus einem Grund: der Eintrag darf die Antwort nicht blockieren
|
||||
* (docs/09-performance-und-ux.md), aber bei schreibenden Aktionen darf er auch
|
||||
* nicht verloren gehen.
|
||||
*
|
||||
* - `writeAudit` läuft **in derselben Transaktion** wie die Änderung. Schlägt
|
||||
* das Protokoll fehl, schlägt die Änderung fehl.
|
||||
* - `recordRead` sammelt Lesezugriffe im Prozess und schreibt sie alle zwei
|
||||
* Sekunden gebündelt weg. Ein verlorener Lesevermerk nach einem Absturz ist
|
||||
* hinnehmbar, eine um 40 ms langsamere Aktenansicht nicht.
|
||||
*/
|
||||
export type AuditAction =
|
||||
| 'case.read'
|
||||
| 'case.create'
|
||||
| 'case.update'
|
||||
| 'case.reclassify'
|
||||
| 'case.status'
|
||||
| 'entry.create'
|
||||
| 'entry.edit'
|
||||
| 'entry.retract'
|
||||
| 'entry.restore'
|
||||
| 'case.participant.add'
|
||||
| 'case.participant.remove'
|
||||
| 'case.link'
|
||||
| 'case.unlink'
|
||||
| 'personnel.read'
|
||||
| 'personnel.create'
|
||||
| 'personnel.update'
|
||||
| 'personnel.reclassify'
|
||||
| 'personnel.assign'
|
||||
| 'personnel.unassign'
|
||||
| 'document.read'
|
||||
| 'document.create'
|
||||
| 'document.update'
|
||||
| 'document.finalize'
|
||||
| 'document.retract'
|
||||
| 'document.reclassify'
|
||||
| 'attachment.upload'
|
||||
| 'attachment.read'
|
||||
| 'attachment.release'
|
||||
| 'chat.adopt'
|
||||
| 'roles.update'
|
||||
| 'export.pdf'
|
||||
| 'export.approve'
|
||||
| 'export.reject'
|
||||
| 'export.download'
|
||||
| 'export.database'
|
||||
|
||||
export type AuditInput = {
|
||||
actorId: string
|
||||
action: AuditAction
|
||||
targetType: string
|
||||
targetId: string
|
||||
clearanceAtTime: number
|
||||
meta?: Prisma.InputJsonValue
|
||||
}
|
||||
|
||||
/** Ab dieser Stufe wird auch das blosse Lesen protokolliert (harte Regel 3). */
|
||||
export const READ_AUDIT_FROM_LEVEL = 3
|
||||
|
||||
type Client = Pick<typeof db, 'auditLog'>
|
||||
|
||||
/** Schreibende Aktionen: synchron, in der Transaktion des Aufrufers. */
|
||||
export async function writeAudit(client: Client, input: AuditInput): Promise<void> {
|
||||
await client.auditLog.create({
|
||||
data: {
|
||||
actorId: input.actorId,
|
||||
action: input.action,
|
||||
targetType: input.targetType,
|
||||
targetId: input.targetId,
|
||||
clearanceAtTime: input.clearanceAtTime,
|
||||
meta: input.meta,
|
||||
},
|
||||
})
|
||||
}
|
||||
|
||||
const buffer: AuditInput[] = []
|
||||
let flushTimer: NodeJS.Timeout | null = null
|
||||
|
||||
async function flush(): Promise<void> {
|
||||
flushTimer = null
|
||||
if (buffer.length === 0) return
|
||||
|
||||
const batch = buffer.splice(0, buffer.length)
|
||||
try {
|
||||
await db.auditLog.createMany({
|
||||
data: batch.map((entry) => ({
|
||||
actorId: entry.actorId,
|
||||
action: entry.action,
|
||||
targetType: entry.targetType,
|
||||
targetId: entry.targetId,
|
||||
clearanceAtTime: entry.clearanceAtTime,
|
||||
meta: entry.meta,
|
||||
})),
|
||||
})
|
||||
} catch (error) {
|
||||
console.error('[audit] Bündel nicht geschrieben', error)
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Lesezugriff vormerken. Nur ab Stufe 3 aufrufen, sonst füllt sich das
|
||||
* Protokoll mit Belanglosigkeiten und die interessanten Zeilen gehen unter.
|
||||
*/
|
||||
export function recordRead(input: AuditInput): void {
|
||||
buffer.push(input)
|
||||
flushTimer ??= setTimeout(() => void flush(), 2000)
|
||||
// Der Prozess soll nicht wegen des Protokolls offen bleiben.
|
||||
flushTimer.unref?.()
|
||||
}
|
||||
|
||||
/** Für Tests und für das geordnete Herunterfahren. */
|
||||
export async function flushAuditBuffer(): Promise<void> {
|
||||
if (flushTimer) {
|
||||
clearTimeout(flushTimer)
|
||||
flushTimer = null
|
||||
}
|
||||
await flush()
|
||||
}
|
||||
Reference in New Issue
Block a user