Vier offene Wege waren in Wahrheit zehn Router ohne Schranke

Weiter mit den roten Pruefungen. `pruef-alle-wege` meldete vier
schreibende Wege, die eine Anfrage von "https://boese.example" mit dem
Keks des Angemeldeten annahmen (CSRF):

  PUT  /workspace/api/anleitung/zeile/1
  POST /workspace/api/anleitung/aufstieg/gesehen
  POST /workspace/api/anleitung/einweisung/gesehen
  POST /workspace/api/buehne/schluessel

BEIM NACHZAEHLEN WAR ES GROESSER: 35 Router fuehrten je eine eigene
Abschrift der Herkunftspruefung -- in DREI verschiedenen Formulierungen
-- und ZEHN hatten gar keine (anleitung, befinden, buehne, hilfe,
manager-ziele, material, reports, support, video, zuteilung). Die vier
gemeldeten waren nicht die unsicheren, sondern die, die auf die
Probe-Nutzlast zufaellig 200 antworten statt 400 oder 404.

MEIN ERSTER VERSUCH WAR FALSCH, und die Gegenprobe hat es gezeigt. Ich
hatte in jeden der zehn Router ein `use("/workspace/api", …)` gesetzt;
die Pruefung wurde gruen. Dann habe ich die Zeile aus
workspace-anleitung.js wieder entfernt -- und sie blieb gruen. Grund:
Express geht die Router der Reihe nach durch, und ein `use` mit diesem
Praefix greift auch fuer die Wege aller spaeteren Router. Die
Absicherung haette damit an der Einhaeng-REIHENFOLGE gehangen, nicht an
einer Absicht -- und ihr Fehlen haette keine Pruefung bemerkt.

JETZT EINE ZEILE in index.js, vor allen Routern, dort wo die
Reihenfolge ohnehin ausgesprochen ist, und die gemeinsame Funktion in
workspace.js. Gegenprobe gefahren: Zeile entfernt -> genau die vier
alten Befunde kommen zurueck. Das konnte die vorige Fassung nicht.

Die gemeinsame Fassung laesst LESENDE Aufrufe durch (CSRF ist ein
Problem der Wirkung) -- nur deshalb darf sie an einem Praefix haengen
statt an jedem schreibenden Weg einzeln, und "an jedem einzeln" ist
genau die Bauweise, bei der der naechste neue Weg vergessen wird.
workspace-spenden.js macht es seit jeher schon so.

NICHT ANGEFASST: die 35 vorhandenen Abschriften. Sie funktionieren, und
sie alle auf einmal zu ersetzen waere ein grosser Umbau ohne
Sicherheitsgewinn -- die gemeinsame Funktion steht jetzt da, kuenftige
Router nehmen sie.

pruef-alle-wege 19 gruen (233 schreibende Wege mit fremder Herkunft
versucht, keiner angenommen). Dazu gruen: anleitung 196, befinden 121,
hilfe 84, material 159, zuteilung 98, manager-ziele 229, support 104,
video 74, buehne 38, eventkarte 94.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/index.js

@@ -15,7 +15,7 @@ import { workspaceUmzug } from "./workspace-umzug.js";
 import { crewWeiche } from "./crew-adresse.js";
 import { webdesignGate } from "./webdesign-gate.js";
 import { inhaltsrichtlinie } from "./inhaltsrichtlinie.js";
-import { workspaceRouter, sichtSetzen } from "./workspace.js";
+import { workspaceRouter, sichtSetzen, gleicheHerkunft } from "./workspace.js";
 import { aufgabenRouter } from "./workspace-aufgaben.js";
 import { zuteilungRouter } from "./workspace-zuteilung.js";
 import { materialRouter } from "./workspace-material.js";
@@ -219,6 +219,33 @@ app.use(webdesignGate);
    Das Modul ist so gebaut, dass es diese Website nicht mitreißen kann:
    Es öffnet beim Laden keine Datenbank, und jede Route fängt ihre Fehler
    selbst ab (Begründung im Kopf von workspace.js). */
+/* ==== KOMMT DIE ANFRAGE VON UNSERER EIGENEN SEITE? (07.10.2026) ======
+
+   Der Schutz gegen CSRF, für ALLE Wege unter /workspace/api -- an genau
+   einer Stelle und VOR allen Routern.
+
+   WARUM NICHT IN DEN ROUTERN: Bis heute führten 35 Router je eine
+   eigene Abschrift dieser Prüfung, in drei verschiedenen
+   Formulierungen, und zehn hatten gar keine (anleitung, befinden,
+   buehne, hilfe, manager-ziele, material, reports, support, video,
+   zuteilung). `pruef-alle-wege` meldete davon vier -- nicht weil die
+   übrigen sicher waren, sondern weil sie auf die Probe-Nutzlast
+   zufällig 400 oder 404 antworten statt 200.
+
+   UND WARUM NICHT „in jeden der zehn eine einsetzen": Genau das war
+   mein erster Versuch, und er hat etwas Unangenehmes gezeigt. Ein
+   `router.use("/workspace/api", …)` greift für JEDEN Weg mit diesem
+   Präfix, auch für die der anderen Router -- Express geht die Router
+   der Reihe nach durch, und der erste mit so einer Zeile schützt alles
+   dahinter. Die Absicherung hing damit an der Einhäng-REIHENFOLGE,
+   nicht an einer Absicht. Gemerkt habe ich es an der Gegenprobe: Ich
+   habe die Zeile aus `workspace-anleitung.js` wieder entfernt, und die
+   Prüfung blieb grün. Eine Absicherung, deren Fehlen keine Prüfung
+   bemerkt, ist keine.
+
+   Also eine Zeile, hier, wo die Reihenfolge ausgesprochen ist. */
+app.use("/workspace/api", gleicheHerkunft);
+
 app.use(workspaceRouter);
 
 /* DIE SICHT EINES ANDEREN (01.09.2026) -- setzt req.sicht.