qciganoandClaude Sonnet 5
fb7a7b76c2
Ersetzt die Phase-1-Beispieldaten in /verwaltung/ durch ein echtes, funktionierendes Bestellsystem: - Neue D1-Datenbank (vans-diy-bastelbedarf-db) mit orders/order_items-Tabellen, an das Pages-Projekt gebunden (wrangler.toml). - Neue API-Routen (Pages Functions): POST /api/orders legt beim Checkout eine echte Bestellung an (mit Validierung); GET/PATCH /api/verwaltung/orders(/:id) listen bzw. ändern Bestellungen — beide zusätzlich zur Middleware nochmal eigenständig gegen die Zugangscode-Sitzung geprüft (Verteidigung in der Tiefe). Gemeinsame Auth-Logik aus _middleware.js nach functions/_shared/auth.js ausgelagert. - Checkout (4 Sprachen) sendet beim Absenden die echte Bestellung an die API, zeigt bei einem Fehler eine klare Meldung statt einfach auf die Danke-Seite weiterzuleiten. - /verwaltung/ lädt Bestellungen jetzt live per fetch(), mit Lade-/Fehlerzustand, und erlaubt direktes Ändern des Bestellstatus per Dropdown (sofort in der Datenbank gespeichert). Neuer Status "storniert" (zählt nicht in Umsatz/Auswertung mit). Vollständig lokal end-to-end getestet (wrangler pages dev + lokale D1): echter Browser-Checkout -> Bestellung landet in der Datenbank -> erscheint sofort in der Verwaltung -> Status ändern bleibt nach Neuladen bestehen. Co-Authored-By: Claude Sonnet 5 <[email protected]>
89 lines
3.4 KiB
JavaScript
89 lines
3.4 KiB
JavaScript
/* =====================================================================
|
|
functions/_shared/auth.js — gemeinsame Session-Logik für die Zugangscode-Schranke.
|
|
|
|
Ursprünglich komplett in functions/_middleware.js, jetzt hierher ausgelagert, damit auch
|
|
die neuen API-Routen (functions/api/verwaltung/*) unabhängig vom Seiten-Routing prüfen
|
|
können, ob eine gültige qciga-/VanVan-Sitzung vorliegt — Verteidigung in der Tiefe: selbst
|
|
wenn jemand /api/verwaltung/orders direkt anspringt (ohne vorher /verwaltung/ zu laden),
|
|
greift hier dieselbe Prüfung wie bei jeder normalen Seite.
|
|
===================================================================== */
|
|
|
|
export const COOKIE_NAME = "vandiy_gate_session";
|
|
export const ROLE_COOKIE_NAME = "vandiy_gate_role";
|
|
export const SESSION_TAGE = 90;
|
|
|
|
function b64urlEncode(bytes) {
|
|
let bin = "";
|
|
bytes.forEach((b) => (bin += String.fromCharCode(b)));
|
|
return btoa(bin).replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");
|
|
}
|
|
function b64urlDecodeToBytes(str) {
|
|
str = str.replace(/-/g, "+").replace(/_/g, "/");
|
|
while (str.length % 4) str += "=";
|
|
const bin = atob(str);
|
|
return Uint8Array.from(bin, (c) => c.charCodeAt(0));
|
|
}
|
|
|
|
async function hmacKey(secret) {
|
|
return crypto.subtle.importKey(
|
|
"raw",
|
|
new TextEncoder().encode(secret),
|
|
{ name: "HMAC", hash: "SHA-256" },
|
|
false,
|
|
["sign", "verify"]
|
|
);
|
|
}
|
|
|
|
export async function signSession(role, secret) {
|
|
const payload = JSON.stringify({ role, exp: Date.now() + SESSION_TAGE * 24 * 60 * 60 * 1000 });
|
|
const payloadB64 = b64urlEncode(new TextEncoder().encode(payload));
|
|
const key = await hmacKey(secret);
|
|
const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64));
|
|
const sigB64 = b64urlEncode(new Uint8Array(sig));
|
|
return `${payloadB64}.${sigB64}`;
|
|
}
|
|
|
|
export async function verifySession(token, secret) {
|
|
if (!token || !token.includes(".")) return null;
|
|
const [payloadB64, sigB64] = token.split(".");
|
|
try {
|
|
const key = await hmacKey(secret);
|
|
const valid = await crypto.subtle.verify(
|
|
"HMAC",
|
|
key,
|
|
b64urlDecodeToBytes(sigB64),
|
|
new TextEncoder().encode(payloadB64)
|
|
);
|
|
if (!valid) return null;
|
|
const payload = JSON.parse(new TextDecoder().decode(b64urlDecodeToBytes(payloadB64)));
|
|
if (!payload.exp || payload.exp < Date.now()) return null;
|
|
return payload; // { role, exp }
|
|
} catch {
|
|
return null;
|
|
}
|
|
}
|
|
|
|
export function getCookie(request, name) {
|
|
const header = request.headers.get("Cookie") || "";
|
|
const match = header.match(new RegExp(`(?:^|;\\s*)${name}=([^;]+)`));
|
|
return match ? decodeURIComponent(match[1]) : null;
|
|
}
|
|
|
|
/** Liefert die Rolle ("qciga"/"vanvan") bei gültiger Sitzung, sonst null. Für API-Routen
|
|
* gedacht, die UNABHÄNGIG vom Seiten-Routing (Middleware) noch einmal selbst prüfen wollen,
|
|
* ob wirklich nur qciga/VanVan zugreifen — siehe functions/api/verwaltung/*. */
|
|
export async function getGateRole(request, env) {
|
|
if (!env.SITE_ACCESS_SECRET) return null;
|
|
const token = getCookie(request, COOKIE_NAME);
|
|
const payload = token ? await verifySession(token, env.SITE_ACCESS_SECRET) : null;
|
|
return payload?.role ?? null;
|
|
}
|
|
|
|
/** Standard-401-Antwort für API-Routen ohne gültige Sitzung. */
|
|
export function unauthorizedJson() {
|
|
return new Response(JSON.stringify({ ok: false, error: "Nicht angemeldet." }), {
|
|
status: 401,
|
|
headers: { "Content-Type": "application/json" },
|
|
});
|
|
}
|