Sicherung: laeuft von allein, und ein stiller Ausfall faellt auf

Filipe zu Recht: "wieso soll ich diesen Befehl einmal die Woche eingeben,
ich will einmal und dass es dann alleine laeuft". Ein Befehl, den man
selbst eintippen muss, wird irgendwann vergessen -- und zwar genau dann,
wenn er zaehlt.

tools/sicherung-einrichten.ps1 legt eine Windows-Aufgabe an: taeglich
statt woechentlich (der Lauf dauert Sekunden, bei woechentlich waere die
Kopie im schlimmsten Fall sechs Tage alt), 13:30 statt nachts (der
Rechner laeuft nicht durch), und mit StartWhenAvailable -- war der
Rechner aus, holt Windows den Lauf beim naechsten Hochfahren nach. Ohne
diesen Schalter fiele jeder verpasste Termin ersatzlos aus. Braucht keine
Administratorrechte und macht am Ende gleich einen Probelauf: eine
Einrichtung, die man nicht ausprobiert, ist eine Vermutung.

Damit entsteht aber ein neues, schlimmeres Problem: Wenn die Aufgabe
still klemmt oder der Rechner wochenlang aus ist, merkt es NIEMAND. Man
glaubt, man haette eine Kopie ausser Haus, und hat sie nicht. Deshalb
meldet sich das Abholskript nach jedem Lauf beim Server zurueck, und die
Automationen-Seite zeigt, wie alt die Kopie ist -- nach zehn Tagen wird
sie auffaellig.

Die Rueckmeldung laeuft ueber einen eigenen langen Schluessel, nicht ueber
einen Zugangscode: Das Skript laeuft unbeaufsichtigt und muesste einen
Code sonst dauerhaft auf der Platte halten. Der Schluessel kann NUR einen
Zeitstempel setzen -- nichts lesen, nichts aendern. Verglichen wird
zeitunabhaengig.

Dabei eine unauffaellige Falle gefunden: In workspace-aufgaben.js steht
`aufgabenRouter.use("/workspace/api", angemeldet)` -- eine Schranke ueber
JEDEN Pfad unter /workspace/api, nicht nur die eigenen. Alle spaeter
eingehaengten Module leben stillschweigend davon. Die Rueckmeldung wurde
dort mit 401 abgewiesen, bevor ihr Schluessel ueberhaupt geprueft wurde;
der richtige Schluessel sah dadurch aus wie ein Fehler in der Pruefung.
Das Sicherungsmodul haengt jetzt VOR dem Aufgabenmodul und bringt seine
eigene Schranke mit -- damit haengt es an keinem anderen Modul mehr.

Ausserdem: Die Ueberschrift im Kasten nennt jetzt den GRUND, aus dem er
gelb ist. Vorher stand dort "Zuletzt gesichert vor 2 Minuten", waehrend
die Farbe wegen der fehlenden Kopie warnte -- die Anzeige widersprach
sich selbst und man sucht den Fehler an der falschen Stelle.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/index.js

@@ -83,6 +83,11 @@ app.use(webdesignGate);
    Es öffnet beim Laden keine Datenbank, und jede Route fängt ihre Fehler
    selbst ab (Begründung im Kopf von workspace.js). */
 app.use(workspaceRouter);
+/* MUSS vor aufgabenRouter stehen: Der haengt eine Schranke ueber ALLE
+   Pfade unter /workspace/api. Die Rueckmeldung der Sicherungskopie kommt
+   aber von einem Skript ohne Sitzung und wuerde dort abgewiesen, bevor
+   ihr Schluessel ueberhaupt geprueft wird. */
+app.use(sicherungRouter);
 app.use(aufgabenRouter);
 app.use(personenRouter);
 app.use(profilRouter);
@@ -97,7 +102,6 @@ app.use(sucheRouter);
 app.use(startcheckRouter);
 app.use(wissenRouter);
 app.use(kiRouter);
-app.use(sicherungRouter);
 
 /* Naechtliche Sicherung. Startet einen eigenen Takt im Prozess -- siehe
    workspace-sicherung.js, dort steht auch, warum sie NICHT als eigener

server/pruef-sicherung.mjs

@@ -231,6 +231,50 @@ console.log("\n8) Die Zustandsseite zeigt, was los ist");
   ok(o.status === 401, `ohne Anmeldung 401 (${o.status})`);
 }
 
+console.log("\n9) Rückmeldung der Kopie außer Haus");
+{
+  const anmelden = async (rolle, code) => {
+    const a = await fetch(BASIS + "/workspace/api/anmelden", {
+      method: "POST", headers: { "Content-Type": "application/json" },
+      body: JSON.stringify({ rolle, code }), redirect: "manual" });
+    return (a.headers.getSetCookie?.() || []).map((c) => c.split(";")[0]).join("; ");
+  };
+  const keks = await anmelden("admin", "CODE-DOGI-0001");
+
+  const s1 = await fetch(BASIS + "/workspace/api/zustand/kopie-schluessel", { headers: { cookie: keks } });
+  ok(s1.ok, `DogFather bekommt den Schlüssel (${s1.status})`);
+  const { schluessel } = await s1.json();
+  ok(typeof schluessel === "string" && schluessel.length >= 30,
+     `der Schlüssel ist lang genug (${schluessel?.length} Zeichen)`);
+
+  /* Der Creator darf ihn NICHT bekommen -- mit ihm koennte er zwar nichts
+     lesen, aber er hat dort ueberhaupt nichts zu suchen. */
+  const cKeks = await anmelden("creator", "CODE-CRE-0001");
+  const s2 = await fetch(BASIS + "/workspace/api/zustand/kopie-schluessel", { headers: { cookie: cKeks } });
+  ok(s2.status === 404, `Creator bekommt 404 (${s2.status})`);
+
+  const melden = (kopf) => fetch(BASIS + "/workspace/api/zustand/kopie", {
+    method: "POST",
+    headers: { "Content-Type": "application/json", ...kopf },
+    body: JSON.stringify({ dateien: 3, sicherungen: 2, bytes: 400000, rechner: "Prüfrechner" }),
+  });
+
+  ok((await melden({})).status === 401, "ohne Schlüssel abgelehnt");
+  ok((await melden({ "X-Kopie-Schluessel": "falsch" })).status === 401, "mit falschem Schlüssel abgelehnt");
+  /* Gleiche Laenge, anderer Inhalt -- genau der Fall, den ein reiner
+     Laengenvergleich durchgelassen haette. */
+  ok((await melden({ "X-Kopie-Schluessel": "x".repeat(schluessel.length) })).status === 401,
+     "auch bei gleicher Länge abgelehnt");
+
+  const gut = await melden({ "X-Kopie-Schluessel": schluessel });
+  ok(gut.ok, `mit richtigem Schlüssel angenommen (${gut.status})`);
+
+  const z = await (await fetch(BASIS + "/workspace/api/zustand", { headers: { cookie: keks } })).json();
+  ok(z.kopie?.rechner === "Prüfrechner", `der Zustand kennt die Kopie jetzt (${z.kopie?.rechner})`);
+  ok(z.kopie?.dateien === 3, `mit der Anzahl Dateien (${z.kopie?.dateien})`);
+  ok(!!z.kopie?.zeit, "und mit einem Zeitpunkt");
+}
+
 console.log(`\n${fehler === 0 ? "Alles in Ordnung." : fehler + " Prüfung(en) fehlgeschlagen."}`);
 try { rmSync(ordner, { recursive: true, force: true }); } catch { /* Windows haelt die Datei */ }
 process.exit(fehler === 0 ? 0 : 1);

server/pruef-zustand-ansicht.mjs

@@ -69,8 +69,28 @@ const lesen = (seite) => seite.evaluate(() => ({
   ueber: document.documentElement.scrollWidth - document.documentElement.clientWidth,
 }));
 
+/* Vor jedem Durchlauf denselben Ausgangszustand herstellen. Ohne das
+   traegt der zweite Durchlauf die Sicherung UND die gemeldete Kopie aus
+   dem ersten mit sich herum und prueft etwas ganz anderes -- ein Test,
+   der beim zweiten Mal grundlos rot wird, sagt nichts mehr aus. */
+function zuruecksetzen() {
+  const z = new DatabaseSync(process.env.WORKSPACE_DB);
+  try {
+    z.prepare("DELETE FROM einstellungen WHERE schluessel IN ('kopie_letzte','sicherung_letzte','sicherung_fehler')").run();
+  } catch { /* egal */ } finally { z.close(); }
+  try {
+    const { rmSync } = require("node:fs");
+    rmSync(join(ordner, "sicherungen"), { recursive: true, force: true });
+  } catch { /* egal */ }
+}
+
+const { createRequire } = await import("node:module");
+const { pathToFileURL } = await import("node:url");
+const require = createRequire(pathToFileURL(process.cwd() + "/"));
+
 for (const [breite, wie] of [[1440, "Computer"], [390, "Handy"]]) {
   console.log(`\n=== DogFather · ${wie}`);
+  zuruecksetzen();
   const kontext = await browser.newContext({ viewport: { width: breite, height: 950 } });
   const konsole = [];
   const seite = await seiteFuer(kontext, "admin", "CODE-DOGI-0001");
@@ -79,16 +99,8 @@ for (const [breite, wie] of [[1440, "Computer"], [390, "Handy"]]) {
 
   const vorher = await lesen(seite);
   ok(vorher.da, "der Kasten ist da");
-  /* Nur im ERSTEN Durchlauf ist noch nichts gesichert -- danach liegt die
-     Sicherung aus dem Durchlauf davor da. Wer das nicht unterscheidet,
-     baut sich einen Test, der beim zweiten Mal grundlos rot wird. */
-  if (breite === 1440) {
-    ok(/Noch keine Sicherung/.test(vorher.titel || ""),
-       `sagt ehrlich, dass noch nichts lief ("${vorher.titel}")`);
-  } else {
-    ok(/Zuletzt gesichert/.test(vorher.titel || ""),
-       `die Sicherung aus dem ersten Durchlauf steht noch da ("${vorher.titel}")`);
-  }
+  ok(/Noch keine Sicherung/.test(vorher.titel || ""),
+     `sagt ehrlich, dass noch nichts lief ("${vorher.titel}")`);
   ok(vorher.ueber <= 0, `nichts steht über (${vorher.ueber}px)`);
   ok(vorher.zeilen.some((z) => /WAL/.test(z)), "die wartenden Schreibvorgänge stehen da");
 
@@ -97,9 +109,31 @@ for (const [breite, wie] of [[1440, "Computer"], [390, "Handy"]]) {
   await seite.waitForTimeout(1500);
   const nachher = await lesen(seite);
   console.log("   ->", nachher.titel, "|", nachher.text);
-  ok(/Zuletzt gesichert/.test(nachher.titel || ""), "nach dem Knopfdruck steht ein Zeitpunkt da");
-  ok(/Personen/.test(nachher.text || ""), "und wie viele Personen darin stehen");
-  ok(nachher.zustand === "gut", `Zustand ist gut (${nachher.zustand})`);
+  /* Ohne Kopie ausserhalb des Servers MUSS der Kasten gelb bleiben --
+     und die Ueberschrift muss genau das als Grund nennen, statt nur
+     "gerade gesichert" zu melden und die Farbe unerklaert zu lassen. */
+  ok(nachher.zustand === "alt", `ohne Kopie ausser Haus bleibt es gelb (${nachher.zustand})`);
+  ok(/Kopie au.erhalb/.test(nachher.titel || ""),
+     `die Ueberschrift nennt den Grund ("${nachher.titel}")`);
+  ok(/Personen/.test(nachher.text || ""), "und der Text sagt, dass der Server frisch ist");
+
+  /* Jetzt die Kopie melden -- danach muss es gruen werden. */
+  const schluessel = await seite.evaluate(async () =>
+    (await (await fetch("/workspace/api/zustand/kopie-schluessel",
+      { credentials: "same-origin" })).json()).schluessel);
+  await seite.evaluate(async (s) => {
+    await fetch("/workspace/api/zustand/kopie", {
+      method: "POST",
+      headers: { "Content-Type": "application/json", "X-Kopie-Schluessel": s },
+      body: JSON.stringify({ dateien: 4, sicherungen: 1, bytes: 180000, rechner: "Filipes PC" }),
+    });
+  }, schluessel);
+  await seite.reload({ waitUntil: "networkidle" });
+  await seite.waitForTimeout(600);
+  const gruen = await lesen(seite);
+  ok(gruen.zustand === "gut", `mit Kopie ausser Haus wird es gruen (${gruen.zustand})`);
+  ok(/Zuletzt gesichert/.test(gruen.titel || ""), `und die Ueberschrift wieder ruhig ("${gruen.titel}")`);
+  ok(gruen.zeilen.some((z) => /Filipes PC/.test(z)), "der Rechner steht in der Uebersicht");
   ok(nachher.sicherungen >= 1, `die Sicherung taucht in der Liste auf (${nachher.sicherungen})`);
   ok(nachher.ueber <= 0, `auch danach steht nichts über (${nachher.ueber}px)`);
   ok(konsole.length === 0, `keine Fehler in der Konsole${konsole.length ? " -> " + konsole.join(" | ") : ""}`);

server/workspace-sicherung.js

@@ -40,9 +40,11 @@ import {
 } from "node:fs";
 import { join, dirname } from "node:path";
 import { createRequire } from "node:module";
+import { randomBytes, timingSafeEqual } from "node:crypto";
 import { fileURLToPath, pathToFileURL } from "node:url";
 import {
-  db, DB_PFAD, DATEN_ORDNER, einstellung, einstellungSetzen, istLeitung, protokolliere,
+  db, DB_PFAD, DATEN_ORDNER, einstellung, einstellungSetzen, istLeitung, istDogFather,
+  protokolliere, sitzungLesen,
 } from "./workspace.js";
 
 /* node:sqlite wird wie in workspace.js NACHTRAEGLICH geholt, nicht oben
@@ -255,12 +257,33 @@ export function sicherungStarten() {
 
 export const sicherungRouter = express.Router();
 
+/* ACHTUNG, unauffaellige Falle: In workspace-aufgaben.js steht
+   `aufgabenRouter.use("/workspace/api", angemeldet)` -- eine Schranke,
+   die JEDEN Pfad unter /workspace/api abfaengt, nicht nur die eigenen.
+   Alle spaeter eingehaengten Module leben davon mit, ohne es zu sagen.
+
+   Fuer die Rueckmeldung der Kopie ist das toedlich: Sie kommt von einem
+   unbeaufsichtigten Skript ohne Sitzung und wuerde dort mit 401
+   abgewiesen, noch bevor der Schluessel ueberhaupt geprueft wird. Genau
+   das ist beim ersten Versuch passiert -- der richtige Schluessel gab
+   401 und sah aus wie ein Fehler in der Pruefung.
+
+   Deshalb haengt dieses Modul VOR dem Aufgabenmodul (siehe index.js) und
+   bringt seine eigene Schranke mit. Nebeneffekt: Es haengt an keinem
+   anderen Modul mehr. */
+function angemeldet(req, res, next) {
+  const person = sitzungLesen(req);
+  if (!person) return res.status(401).json({ fehler: "nicht_angemeldet" });
+  req.person = person;
+  next();
+}
+
 function nurLeitung(req, res, next) {
   if (!istLeitung(req.person)) return res.status(404).json({ fehler: "nicht gefunden" });
   next();
 }
 
-sicherungRouter.get("/workspace/api/zustand", nurLeitung, (req, res) => {
+sicherungRouter.get("/workspace/api/zustand", angemeldet, nurLeitung, (req, res) => {
   try {
     const d = db();
     const lies = (s) => { try { return JSON.parse(einstellung(s) || "null"); } catch { return null; } };
@@ -290,6 +313,7 @@ sicherungRouter.get("/workspace/api/zustand", nurLeitung, (req, res) => {
     res.json({
       letzte: lies("sicherung_letzte"),
       fehler: lies("sicherung_fehler"),
+      kopie: lies("kopie_letzte"),
       sicherungen: liste.slice(0, 20),
       anzahl: liste.length,
       belegt: liste.reduce((n, s) => n + s.groesse, 0),
@@ -310,9 +334,67 @@ sicherungRouter.get("/workspace/api/zustand", nurLeitung, (req, res) => {
   }
 });
 
+/* ---------- Rueckmeldung der Kopie ausserhalb des Servers -------------
+
+   Der Rechner holt sich die Sicherungen selbst -- der Server kann ihn ja
+   nicht erreichen. Damit hat das Ganze aber eine gefaehrliche
+   Eigenschaft: Bleibt der Rechner wochenlang aus oder scheitert die
+   geplante Aufgabe still, merkt es NIEMAND. Man glaubt, man haette eine
+   Kopie ausserhalb, und hat sie nicht.
+
+   Deshalb meldet sich das Abholskript nach jedem erfolgreichen Lauf hier
+   zurueck. Auf der Automationen-Seite steht dann, wie alt die Kopie ist,
+   und sie wird auffaellig, wenn zu lange nichts kam.
+
+   Bewusst KEINE Anmeldung mit Zugangscode: Das Skript liefe unbeaufsichtigt
+   und muesste den Code dauerhaft auf der Platte liegen haben. Stattdessen
+   ein eigener, langer Schluessel, der NUR dieses eine kann -- einen
+   Zeitstempel setzen. Wer ihn stiehlt, kann nichts lesen und nichts
+   aendern. Verglichen wird zeitunabhaengig, damit sich der Schluessel
+   nicht ueber die Antwortzeit erraten laesst.
+   --------------------------------------------------------------------- */
+
+function kopieSchluessel() {
+  let s = einstellung("kopie_schluessel");
+  if (!s) {
+    s = randomBytes(24).toString("base64url");
+    einstellungSetzen("kopie_schluessel", s);
+  }
+  return s;
+}
+
+sicherungRouter.post("/workspace/api/zustand/kopie", express.json({ limit: "8kb" }), (req, res) => {
+  try {
+    const gesendet = String(req.get("x-kopie-schluessel") || "");
+    const echt = kopieSchluessel();
+    const a = Buffer.from(gesendet);
+    const b = Buffer.from(echt);
+    if (a.length !== b.length || !timingSafeEqual(a, b)) {
+      return res.status(401).json({ fehler: "Schlüssel stimmt nicht." });
+    }
+    einstellungSetzen("kopie_letzte", JSON.stringify({
+      zeit: new Date().toISOString(),
+      dateien: Number(req.body?.dateien) || 0,
+      sicherungen: Number(req.body?.sicherungen) || 0,
+      bytes: Number(req.body?.bytes) || 0,
+      rechner: String(req.body?.rechner || "").slice(0, 60),
+    }));
+    res.json({ ok: true });
+  } catch (fehler) {
+    res.status(500).json({ fehler: String(fehler?.message || fehler) });
+  }
+});
+
+/* Den Schluessel darf nur DogFather sehen -- er ist ein Geheimnis, auch
+   wenn er wenig kann. Gebraucht wird er genau einmal beim Einrichten. */
+sicherungRouter.get("/workspace/api/zustand/kopie-schluessel", angemeldet, nurLeitung, (req, res) => {
+  if (!istDogFather(req.person)) return res.status(404).json({ fehler: "nicht gefunden" });
+  res.json({ schluessel: kopieSchluessel() });
+});
+
 /* Von Hand ausloesen -- vor einer groesseren Aenderung will man nicht bis
    drei Uhr nachts warten. Nur die Leitung, und es wird protokolliert. */
-sicherungRouter.post("/workspace/api/zustand/sichern", nurLeitung, (req, res) => {
+sicherungRouter.post("/workspace/api/zustand/sichern", angemeldet, nurLeitung, (req, res) => {
   try {
     const e = sicherungJetzt("von Hand · " + (req.person?.name || "?"));
     protokolliere("sicherung_erstellt", {