Creator Workspace: Anmeldung, Sitzungen und Audit-Log

Erster funktionierender Login fuer /workspace. Bewusst OHNE neue
Abhaengigkeiten: Node 24 bringt node:sqlite mit, Hashing und Zufall
kommen aus node:crypto. Nichts zu kompilieren, keine fremde Lieferkette
an einer Stelle, an der es um Zugangsdaten geht.

Sicherheit:
- Codes liegen nur als scrypt-Hash (N=32768) mit eigenem Salt in der DB
- Vergleich in konstanter Zeit (timingSafeEqual)
- Sitzungstoken 32 Byte Zufall, in der DB nur als SHA-256
- Cookie httpOnly, SameSite=lax, Path=/workspace, secure abhaengig von
  req.secure (live immer an, nur der lokale http-Test kommt ohne aus)
- Sperre nach 8 Fehlversuchen je IP fuer 10 Minuten -- danach ist auch
  der richtige Code blockiert (geprueft)
- gleiche Fehlermeldung bei falscher Rolle und falschem Code
- Audit-Log fuer Anmeldung, Fehlversuch, Sperre, Abmeldung, Codewechsel

Die Datenbank liegt AUSSERHALB des Repos (../workspace-daten/): sonst
waere sie ueber express.static aus dem Netz erreichbar, und ein git pull
wuerde Nutzdaten anfassen.

workspace.js kann die Website nicht mitreissen: node:sqlite wird erst bei
Bedarf per createRequire geladen, jede Route faengt ihre Fehler selbst ab.
Faellt die DB aus, antwortet nur /workspace/api/* mit 503.

Codes werden ausschliesslich auf der Kommandozeile erzeugt
(server/workspace-code.js) und dort einmal angezeigt -- nie in Git.

Ausserdem: start.html als geschuetzte Seite nach dem Anmelden. Der Schutz
sitzt serverseitig vor express.static, nicht nur im Browser.

server/index.js

@@ -13,6 +13,7 @@ import { fileURLToPath } from "node:url";
 import { gateMiddleware } from "./gate.js";
 import { webdesignGate } from "./webdesign-gate.js";
 import { inhaltsrichtlinie } from "./inhaltsrichtlinie.js";
+import { workspaceRouter } from "./workspace.js";
 
 const __dirname = dirname(fileURLToPath(import.meta.url));
 const SITE_DIR = join(__dirname, "..");
@@ -58,6 +59,16 @@ app.use(gateMiddleware);
    lesbar. Ausführliche Begründung im Kopf von webdesign-gate.js. */
 app.use(webdesignGate);
 
+/* Creator Workspace (27.08.2026): Anmeldung, Sitzungen und Audit-Log für
+   /workspace. Muss VOR express.static stehen, weil der Router auch die
+   angemeldeten Seiten schützt -- stünde er dahinter, würde express.static
+   /workspace/start.html vorher ungeschützt ausliefern.
+
+   Das Modul ist so gebaut, dass es diese Website nicht mitreißen kann:
+   Es öffnet beim Laden keine Datenbank, und jede Route fängt ihre Fehler
+   selbst ab (Begründung im Kopf von workspace.js). */
+app.use(workspaceRouter);
+
 /* Sicherheits-Fix 20.08.2026 (Audit vor dem geplanten öffentlichen Start morgen).
    SITE_DIR ist der GESAMTE Repo-Ordner (join(__dirname, "..")) — express.static liefert
    ohne diese Sperre daher nicht nur die eigentliche Website aus, sondern auch den Server-