Vier offene Wege waren in Wahrheit zehn Router ohne Schranke

Weiter mit den roten Pruefungen. `pruef-alle-wege` meldete vier
schreibende Wege, die eine Anfrage von "https://boese.example" mit dem
Keks des Angemeldeten annahmen (CSRF):

  PUT  /workspace/api/anleitung/zeile/1
  POST /workspace/api/anleitung/aufstieg/gesehen
  POST /workspace/api/anleitung/einweisung/gesehen
  POST /workspace/api/buehne/schluessel

BEIM NACHZAEHLEN WAR ES GROESSER: 35 Router fuehrten je eine eigene
Abschrift der Herkunftspruefung -- in DREI verschiedenen Formulierungen
-- und ZEHN hatten gar keine (anleitung, befinden, buehne, hilfe,
manager-ziele, material, reports, support, video, zuteilung). Die vier
gemeldeten waren nicht die unsicheren, sondern die, die auf die
Probe-Nutzlast zufaellig 200 antworten statt 400 oder 404.

MEIN ERSTER VERSUCH WAR FALSCH, und die Gegenprobe hat es gezeigt. Ich
hatte in jeden der zehn Router ein `use("/workspace/api", …)` gesetzt;
die Pruefung wurde gruen. Dann habe ich die Zeile aus
workspace-anleitung.js wieder entfernt -- und sie blieb gruen. Grund:
Express geht die Router der Reihe nach durch, und ein `use` mit diesem
Praefix greift auch fuer die Wege aller spaeteren Router. Die
Absicherung haette damit an der Einhaeng-REIHENFOLGE gehangen, nicht an
einer Absicht -- und ihr Fehlen haette keine Pruefung bemerkt.

JETZT EINE ZEILE in index.js, vor allen Routern, dort wo die
Reihenfolge ohnehin ausgesprochen ist, und die gemeinsame Funktion in
workspace.js. Gegenprobe gefahren: Zeile entfernt -> genau die vier
alten Befunde kommen zurueck. Das konnte die vorige Fassung nicht.

Die gemeinsame Fassung laesst LESENDE Aufrufe durch (CSRF ist ein
Problem der Wirkung) -- nur deshalb darf sie an einem Praefix haengen
statt an jedem schreibenden Weg einzeln, und "an jedem einzeln" ist
genau die Bauweise, bei der der naechste neue Weg vergessen wird.
workspace-spenden.js macht es seit jeher schon so.

NICHT ANGEFASST: die 35 vorhandenen Abschriften. Sie funktionieren, und
sie alle auf einmal zu ersetzen waere ein grosser Umbau ohne
Sicherheitsgewinn -- die gemeinsame Funktion steht jetzt da, kuenftige
Router nehmen sie.

pruef-alle-wege 19 gruen (233 schreibende Wege mit fremder Herkunft
versucht, keiner angenommen). Dazu gruen: anleitung 196, befinden 121,
hilfe 84, material 159, zuteilung 98, manager-ziele 229, support 104,
video 74, buehne 38, eventkarte 94.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace.js

@@ -6636,6 +6636,57 @@ export function echteIp(req) {
   return req.ip || "?";
 }
 
+/* =====================================================================
+   KOMMT DIE ANFRAGE VON UNSERER EIGENEN SEITE? (07.10.2026)
+   =====================================================================
+
+   Der Schutz gegen CSRF: Ein Browser schickt bei jedem schreibenden
+   Aufruf mit, von welcher Seite er kommt. Stimmt die nicht mit unserer
+   ueberein, hat jemand anderes das Formular abgeschickt -- mit dem
+   Keks des Angemeldeten, aber nicht mit seinem Willen.
+
+   WARUM DIESE FUNKTION JETZT HIER STEHT UND NICHT 35-MAL DANEBEN:
+
+   Am 07.10.2026 nachgezaehlt: 35 Dateien fuehrten je eine eigene
+   Abschrift -- in DREI verschiedenen Formulierungen. Keine davon war
+   gefaehrlich falsch, aber drei Fassungen einer Sicherheitsregel sind
+   drei Gelegenheiten, sie einmal falsch zu aendern. Und zehn Router
+   mit schreibenden Wegen hatten gar keine: anleitung, befinden,
+   buehne, hilfe, manager-ziele, material, reports, support, video,
+   zuteilung.
+
+   `pruef-alle-wege` hatte davon VIER gemeldet -- nicht weil die
+   anderen sicher waren, sondern weil sie auf die Probe-Nutzlast
+   zufaellig 400 oder 404 antworten statt 200. Eine Luecke, die nur
+   deshalb nicht auffaellt, weil der Angriff gerade schlecht geraten
+   ist, ist eine Luecke.
+
+   OHNE HERKUNFT GEHT ES DURCH, und das ist Absicht: Server-zu-Server,
+   Kalender-Abrufe und andere Nicht-Browser schicken keinen
+   Origin-Kopf. Ein Browser schickt ihn bei schreibenden Aufrufen
+   immer -- genau dort greift die Regel.
+
+   LESENDE AUFRUFE GEHEN EBENFALLS DURCH. CSRF ist ein Problem der
+   WIRKUNG: Was nichts aendert, kann auch fremd ausgeloest nichts
+   anrichten. Diese Zeile ist noetig, damit die Schranke an einem
+   ganzen Router haengen darf (`use`) statt an jedem schreibenden Weg
+   einzeln -- und „an jedem einzeln" ist genau die Bauweise, bei der
+   der naechste neue Weg vergessen wird. `workspace-spenden.js` macht
+   es seit jeher schon so.
+
+   WAS DAS NICHT ENTSCHULDIGT: Ein GET, der etwas aendert, waere ein
+   eigener Fehler -- und gegen den hilft keine Herkunftspruefung,
+   sondern nur, ihn nicht zu bauen. */
+export function gleicheHerkunft(req, res, next) {
+  if (req.method === "GET" || req.method === "HEAD") return next();
+  const herkunft = req.get("origin");
+  if (!herkunft) return next();
+  let erlaubt;
+  try { erlaubt = new URL(herkunft).host === req.get("host"); } catch { erlaubt = false; }
+  if (!erlaubt) return res.status(403).json({ fehler: "fremde_herkunft" });
+  next();
+}
+
 function hashe(code, salt, N) {
   return scryptSync(code, salt, SCRYPT.keylen,
     { N, r: SCRYPT.r, p: SCRYPT.p, maxmem: 256 * 1024 * 1024 }).toString("hex");