Harlekin
6b2b4c4c8c
Prüfung / Lint, Typen, Tests (push) Canceled after 0s
Prüfung / Images bauen (pdf) (push) Canceled after 0s
Prüfung / Images bauen (web) (push) Canceled after 0s
Prüfung / Images bauen (worker) (push) Canceled after 0s
Images / bauen (pdf, docker/pdf.Dockerfile) (push) Canceled after 0s
Images / bauen (web, docker/web.Dockerfile) (push) Canceled after 0s
Images / bauen (worker, docker/worker.Dockerfile) (push) Canceled after 0s
Bisher liess sich eine einzelne Fallakte und ein einzelnes Dokument als PDF
sichern. Wer den Stand zu einer Person brauchte, rief beides einzeln ab,
legte es von Hand zusammen und wusste danach nicht, ob er alles hatte.
Ein Dossier ist die Personalakte, dahinter alle ihre Dokumente, dahinter
alle Fallakten, in denen die Person vorkommt - jeweils in derselben
Druckdarstellung wie einzeln. Fuer eine Abteilung dasselbe, je Mitglied
getrennt: eine Abteilung hat keine eigenen Fallakten, sie hat Mitglieder,
die in Fallakten vorkommen. Alles in einen Topf geschuettet staende dieselbe
Akte mehrfach da, ohne dass man saehe, ueber wen sie dort steht.
Der Abrufer waehlt die hoechste Stufe, die aufgenommen wird. Das ist keine
Zugriffspruefung, sondern eine Entscheidung ueber den Umfang - und beides
darf nie durcheinandergeraten:
- Was ueber der Freigabestufe des Abrufers liegt, existiert fuer ihn
nicht. Es steht nicht im Abzug, wird nicht gezaehlt und nicht erwaehnt.
- Was er selbst ausgeschlossen hat, steht als Vermerk im PDF, nach Stufe
aufgeschluesselt. Eine gekuerzte Mappe darf nicht wie eine
vollstaendige aussehen, und der Deckel steht zusaetzlich auf jeder
Seite im Wasserzeichen.
Beide Grenzen laufen in der Datenbankabfrage, nicht danach in JavaScript.
Alles wird als eine Druckseite gerendert statt als mehrere
zusammengeheftete PDFs. So laufen Seitenzahlen, Kopfzeile und Wasserzeichen
durch, und es gibt keinen zweiten Weg, der irgendwann anders aussieht als
der erste. Dafuer sind die vorhandenen Druckansichten zu Bausteinen
geworden - CaseSheet und DocumentSheet stehen jetzt in components/print und
werden von den alten Seiten wie vom Dossier benutzt.
Der Zwischenspeicherschluessel traegt den Deckel, sonst bekaeme ein Abruf
bis Stufe 1 die Datei eines Abrufs bis Stufe 4. Und der Stand ist der
spaeteste ueber alle enthaltenen Akten, nicht der der Kopfdaten allein -
sonst gaebe der Zwischenspeicher einen Abzug heraus, in dem ein
inzwischen geaendertes Dokument im alten Wortlaut steht.
Jeder Abruf steht mit seinem Deckel im Protokoll. Ohne den sagt der
Eintrag, dass jemand etwas ausser Haus gegeben hat, aber nicht wie viel.
70 lines
2.6 KiB
TypeScript
70 lines
2.6 KiB
TypeScript
import { createHmac, timingSafeEqual } from 'node:crypto'
|
|
import { getEnv } from '@/lib/env'
|
|
|
|
/**
|
|
* Kurzlebiges Zeichen für den Druckabruf.
|
|
*
|
|
* Der PDF-Dienst ruft die Druckansicht selbst auf und braucht dafür die Rechte
|
|
* des Abrufers. Ihm dafür das **Sitzungscookie** mitzugeben wäre der bequeme
|
|
* Weg und der falsche: ein Cookie ist der volle Zugang zum Konto, und es läge
|
|
* dann im Speicher eines zweiten Prozesses und in dessen Protokollen.
|
|
*
|
|
* Stattdessen ein signiertes Zeichen, das genau eines erlaubt: diese eine
|
|
* Ansicht, für diesen einen Auftrag, für ein paar Minuten. Es taugt zu nichts
|
|
* anderem. Vergleichbar mit der signierten Datei-URL aus docs/07.
|
|
*/
|
|
|
|
/** Lange genug für einen langsamen Rendervorgang, kurz genug zum Wegwerfen. */
|
|
const GUELTIG_MS = 10 * 60_000
|
|
|
|
export type RenderClaim = {
|
|
jobId: string
|
|
userId: string
|
|
clearanceLevel: number
|
|
/**
|
|
* Höchste Stufe im Abzug. Steht im Zeichen und nicht nur in der Adresse,
|
|
* damit der Deckel nicht an einem Abfrageparameter hängt. Die Druckansicht
|
|
* deckelt ihn trotzdem noch einmal auf die Stufe des Abrufers - eine
|
|
* Adresse ist eine Eingabe.
|
|
*/
|
|
maxLevel?: number
|
|
expiresAt: number
|
|
}
|
|
|
|
function signieren(nutzlast: string): string {
|
|
return createHmac('sha256', getEnv().AUTH_SECRET).update(nutzlast).digest('base64url')
|
|
}
|
|
|
|
export function createRenderToken(claim: Omit<RenderClaim, 'expiresAt'>): string {
|
|
const vollstaendig: RenderClaim = { ...claim, expiresAt: Date.now() + GUELTIG_MS }
|
|
const nutzlast = Buffer.from(JSON.stringify(vollstaendig)).toString('base64url')
|
|
return `${nutzlast}.${signieren(nutzlast)}`
|
|
}
|
|
|
|
/**
|
|
* Prüft das Zeichen. Gibt `null` zurück, wenn irgendetwas nicht stimmt - der
|
|
* Aufrufer macht daraus 404, nicht 403: dass es die Druckansicht gibt, geht
|
|
* niemanden etwas an, der kein gültiges Zeichen hat.
|
|
*/
|
|
export function verifyRenderToken(token: string | null | undefined): RenderClaim | null {
|
|
if (!token) return null
|
|
|
|
const [nutzlast, unterschrift] = token.split('.')
|
|
if (!nutzlast || !unterschrift) return null
|
|
|
|
const erwartet = signieren(nutzlast)
|
|
// Zeitkonstanter Vergleich: ein Längenvergleich vorweg, weil timingSafeEqual
|
|
// bei ungleicher Länge wirft.
|
|
if (erwartet.length !== unterschrift.length) return null
|
|
if (!timingSafeEqual(Buffer.from(erwartet), Buffer.from(unterschrift))) return null
|
|
|
|
try {
|
|
const claim = JSON.parse(Buffer.from(nutzlast, 'base64url').toString('utf8')) as RenderClaim
|
|
if (typeof claim.expiresAt !== 'number' || claim.expiresAt < Date.now()) return null
|
|
if (typeof claim.userId !== 'string' || typeof claim.jobId !== 'string') return null
|
|
return claim
|
|
} catch {
|
|
return null
|
|
}
|
|
}
|