DogFatherGit/vans-diy-bastelbedarf
1
0
Fork 0
Code Issues Pull Requests Actions 4 Packages Projects Releases Wiki Activity

Zugangs-Sperre: Code wird nach dem Schliessen des Browsers wieder gefragt
Build & Deploy / deploy (push) Waiting to run
Details

Browse Source 
Sitzungs-Cookie ohne maxAge/expires statt 90-Tage-Cookie (auch fuer die
zweite Verwaltungs-Schranke); zusaetzlich Notbremse von 12 Stunden im
signierten Token, falls ein Browser sehr lange offen bleibt.
Kundenkonten (customer-auth.js, 30 Tage) bleiben bewusst unveraendert.
This commit is contained in:
qcigano
2026-08-05 20:00:34 +02:00
parent c9e4b0cdbb
commit 654f4455cc
2 changed files with 16 additions and 9 deletions
Download Patch File Download Diff File Expand all files Collapse all files
server/lib/auth.js
+10 -2
View File
@@ -9,7 +9,15 @@
export const COOKIE_NAME = "vandiy_gate_session"; export const COOKIE_NAME = "vandiy_gate_session";
export const ROLE_COOKIE_NAME = "vandiy_gate_role"; export const ROLE_COOKIE_NAME = "vandiy_gate_role";
export const SESSION_TAGE = 90;
/* Zugang gilt nur für die laufende Browser-Sitzung (Wunsch 05.08.2026: "jedes Mal wenn wir den
Browser zu machen, soll der Code wieder gefragt werden"). Umgesetzt über ein reines
Sitzungs-Cookie OHNE maxAge/expires in middleware/gate.js — das löscht der Browser beim
Schließen selbst. SESSION_STUNDEN ist nur die zusätzliche Notbremse im signierten Token für
den Fall, dass ein Browser tage-/wochenlang offen bleibt (dann läuft der Zugang trotzdem ab).
Betrifft NUR die Zugangsschranke — Kundenkonten (customer-auth.js, 30 Tage) bleiben unberührt,
echte Kund:innen sollen sich nicht bei jedem Besuch neu anmelden müssen. */
export const SESSION_STUNDEN = 12;
function b64urlEncode(bytes) { function b64urlEncode(bytes) {
let bin = ""; let bin = "";
@@ -34,7 +42,7 @@ async function hmacKey(secret) {
} }
export async function signSession(role, secret) { export async function signSession(role, secret) {
const payload = JSON.stringify({ role, exp: Date.now() + SESSION_TAGE * 24 * 60 * 60 * 1000 }); const payload = JSON.stringify({ role, exp: Date.now() + SESSION_STUNDEN * 60 * 60 * 1000 });
const payloadB64 = b64urlEncode(new TextEncoder().encode(payload)); const payloadB64 = b64urlEncode(new TextEncoder().encode(payload));
const key = await hmacKey(secret); const key = await hmacKey(secret);
const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64)); const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64));
server/middleware/gate.js
+6 -7
View File
@@ -12,10 +12,9 @@
- API-Routen bekommen bei fehlender Sitzung 401-JSON statt HTML-Redirect. - API-Routen bekommen bei fehlender Sitzung 401-JSON statt HTML-Redirect.
===================================================================== */ ===================================================================== */
import { COOKIE_NAME, ROLE_COOKIE_NAME, SESSION_TAGE, signSession, verifySession } from "../lib/auth.js"; import { COOKIE_NAME, ROLE_COOKIE_NAME, signSession, verifySession } from "../lib/auth.js";
import { import {
VERWALTUNG_COOKIE_NAME, VERWALTUNG_COOKIE_NAME,
VERWALTUNG_SESSION_STUNDEN,
signVerwaltungSession, signVerwaltungSession,
verifyVerwaltungSession, verifyVerwaltungSession,
} from "../lib/verwaltung-auth.js"; } from "../lib/verwaltung-auth.js";
@@ -44,9 +43,9 @@ export async function gateAuthHandler(req, res) {
} }
const session = await signSession(role, process.env.SITE_ACCESS_SECRET); const session = await signSession(role, process.env.SITE_ACCESS_SECRET);
const maxAge = SESSION_TAGE * 24 * 60 * 60 * 1000; // Bewusst OHNE maxAge/expires → reines Sitzungs-Cookie, verfällt beim Schließen des Browsers.
res.cookie(COOKIE_NAME, session, { path: "/", maxAge, httpOnly: true, secure: true, sameSite: "lax" }); res.cookie(COOKIE_NAME, session, { path: "/", httpOnly: true, secure: true, sameSite: "lax" });
res.cookie(ROLE_COOKIE_NAME, role, { path: "/", maxAge, secure: true, sameSite: "lax" }); res.cookie(ROLE_COOKIE_NAME, role, { path: "/", secure: true, sameSite: "lax" });
return res.json({ ok: true, next }); return res.json({ ok: true, next });
} }
@@ -62,8 +61,8 @@ export async function verwaltungAuthHandler(req, res) {
} }
const session = await signVerwaltungSession(process.env.VERWALTUNG_SESSION_SECRET); const session = await signVerwaltungSession(process.env.VERWALTUNG_SESSION_SECRET);
const maxAge = VERWALTUNG_SESSION_STUNDEN * 60 * 60 * 1000; // Ebenfalls reines Sitzungs-Cookie (siehe gateAuthHandler oben).
res.cookie(VERWALTUNG_COOKIE_NAME, session, { path: "/", maxAge, httpOnly: true, secure: true, sameSite: "lax" }); res.cookie(VERWALTUNG_COOKIE_NAME, session, { path: "/", httpOnly: true, secure: true, sameSite: "lax" });
return res.json({ ok: true, next }); return res.json({ ok: true, next });
} }