az/morz-infoboard
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
morz-infoboard/docs
History
Jesko Anschütz dd3ec070f7 Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 
### Security-Fixes (K1–K6, W1–W4, W7, N1, N5–N6, V1, V5–V7)
- K1: CSRF-Schutz via Double-Submit-Cookie (httpapi/csrf.go + csrf_helpers.go)
- K2: requireScreenAccess() in allen manage-Handlern (Tenant-Isolation)
- K3: Tenant-Check bei DELETE /api/v1/media/{id}
- K4: requirePlaylistAccess() + GetByItemID() für JSON-API Playlist-Routen
- K5: Admin-Passwort nur noch als [gesetzt] geloggt
- K6: POST /api/v1/screens/register mit Pre-Shared-Secret (MORZ_INFOBOARD_REGISTER_SECRET)
- W1: Race Condition bei order_index behoben (atomare Subquery in AddItem)
- W2: Graceful Shutdown mit 15s Timeout auf SIGTERM/SIGINT
- W3: http.MaxBytesReader (512 MB) in allen Upload-Handlern
- W4: err.Error() nicht mehr an den Client
- W7: Template-Execution via bytes.Buffer (kein partial write bei Fehler)
- N1: Rate-Limiting auf /login (5 Versuche/Minute pro IP, httpapi/ratelimit.go)
- N5: Directory-Listing auf /uploads/ deaktiviert (neuteredFileSystem)
- N6: Uploads nach Tenant getrennt (uploads/{tenantSlug}/)
- V1: Upload-Logik konsolidiert in internal/fileutil/fileutil.go
- V5: Cookie-Name als Konstante reqcontext.SessionCookieName
- V6: Strukturiertes Logging mit log/slog + JSON-Handler
- V7: DB-Pool wird im Graceful-Shutdown geschlossen

### Phase 6: Screenshot-Erzeugung
- player/agent/internal/screenshot/screenshot.go erstellt
- Integration in app.go mit MORZ_INFOBOARD_SCREENSHOT_EVERY Config

### UX: PDF.js Integration
- pdf.min.js + pdf.worker.min.js als lokale Assets eingebettet
- Automatisches Seitendurchblättern im Player

### Ansible: Neue Rollen
- signage_base, signage_server, signage_provision erstellt
- inventory.yml und site.yml erweitert

### Konzept-Docs
- GRUPPEN-KONZEPT.md, KAMPAGNEN-AKTIVIERUNG.md, MONITORING-KONZEPT.md
- PROVISION-KONZEPT.md, TEMPLATE-EDITOR.md, WATCHDOG-KONZEPT.md

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
2026-03-23 21:06:35 +01:00
..
plans Plane Backend-Agent-Status als naechsten Slice 2026-03-22 17:26:38 +01:00
API-ENDPOINTS.md Dokumentation: Security-Features und Upload-Konsolidierung (Phase 6) 2026-03-23 21:01:47 +01:00
API-INDEX.md Doku-Sync: README, TODO, DEVELOPMENT und API-Docs auf Implementierungsstand nachgezogen 2026-03-23 09:55:36 +01:00
API-MQTT-VERTRAG.md MQTT-Playlist-Push: Änderungen erreichen Client binnen 5 Sekunden 2026-03-23 11:35:50 +01:00
API-QUICK-REFERENCE.md Doku-Sync: README, TODO, DEVELOPMENT und API-Docs auf Implementierungsstand nachgezogen 2026-03-23 09:55:36 +01:00
GRUPPEN-KONZEPT.md Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 2026-03-23 21:06:35 +01:00
KAMPAGNEN-AKTIVIERUNG.md Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 2026-03-23 21:06:35 +01:00
LAYOUT-JSON.md Baue Layout-Resolver und lokale Entwicklungsgerueste aus 2026-03-22 16:03:21 +01:00
MONITORING-KONZEPT.md Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 2026-03-23 21:06:35 +01:00
OFFENE-ARCHITEKTURFRAGEN.md Triff verbindliche Architekturentscheidungen 2026-03-22 13:35:41 +01:00
PLAYER-AGENT-LIFECYCLE.md Fuehre Offline-Schwelle fuer Server-Connectivity ein 2026-03-22 18:25:01 +01:00
PLAYER-KONZEPT.md PDF-Darstellung: Sidebar und Toolbar ausblenden via URL-Parameter 2026-03-23 12:18:52 +01:00
PLAYER-STATUS-HTTP.md Doku-Sync: README, TODO, DEVELOPMENT und API-Docs auf Implementierungsstand nachgezogen 2026-03-23 09:55:36 +01:00
PROVISION-KONZEPT.md Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 2026-03-23 21:06:35 +01:00
PROVISIONIERUNGSKONZEPT.md Triff verbindliche Architekturentscheidungen 2026-03-22 13:35:41 +01:00
SCHEMA.md Doku-Sync: Auth, Tenant-Dashboard, Middleware, Schema nachgezogen 2026-03-23 20:07:12 +01:00
SERVER-KONZEPT.md Doku-Sync: Auth, Tenant-Dashboard, Middleware, Schema nachgezogen 2026-03-23 20:07:12 +01:00
TEMPLATE-EDITOR.md Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 2026-03-23 21:06:35 +01:00
TEMPLATE-KONZEPT.md Baue Layout-Resolver und lokale Entwicklungsgerueste aus 2026-03-22 16:03:21 +01:00
TENANT-FEATURE-PLAN.md Tenant-Feature Phase 6: Session-Cleanup, Docker-Env, Security-Fixes, Doku 2026-03-23 19:39:39 +01:00
TEST-CHECKLIST-DEV.md Dokumentiere erste Dev-Testschritte 2026-03-22 16:35:59 +01:00
WATCHDOG-KONZEPT.md Security-Review + Phase 6: CSRF, Rate-Limiting, Tenant-Isolation, Screenshot, Ansible 2026-03-23 21:06:35 +01:00