qciganoandClaude Sonnet 5
aff961816b
Auf ausdrücklichen Wunsch: /verwaltung/ + /api/verwaltung/* verlangen jetzt ZUSÄTZLICH zum normalen 90-Tage-Seitenzugang einen zweiten, eigenen Code, den nur qciga und VanVan kennen — und der nach 24 Stunden automatisch abläuft (muss also einmal täglich neu eingegeben werden). Der Rest der Seite ist davon unberührt, nur die Bestellübersicht ist betroffen. Bewusst als eigenständiges System (eigenes Cookie vandiy_verwaltung_session, eigenes Geheimnis VERWALTUNG_SESSION_SECRET, eigener HMAC-Signaturcode statt geteiltem mit dem normalen Seitenzugang) — gleiches Trennungsprinzip wie bei den Kundenkonten: ein Leck bei einer Sitzungsart darf nie die andere gefährden. Neue Dateien: functions/_shared/verwaltung-auth.js (Session-Logik), public/verwaltung-code.html (Eingabemaske im selben Stil wie die Haupt-Zugangsseite). functions/_middleware.js prüft nach erfolgreicher Haupt-Sitzung zusätzlich diese zweite Sitzung für /verwaltung*-Pfade. Beide API-Routen (orders.js, orders/[id].js) prüfen die zweite Schranke zusätzlich eigenständig, nach demselben Verteidigungs-in-der-Tiefe-Prinzip wie die bestehende Haupt-Prüfung. Lokal vollständig durchgetestet (wrangler pages dev): kompletter Ablauf ohne jeden Zugang -> Haupt-Gate -> Redirect zum Tages-Code -> falscher Code abgelehnt -> richtiger Code setzt 24-Stunden-Cookie -> Seite und API danach erreichbar. Bestätigt: der Rest der Seite bleibt unberührt (kein Tages-Code nötig), UND dass VanVan mit nur dem Haupt-Zugang (ohne Tages-Code) ebenfalls noch ausgesperrt bleibt, wie gewünscht. Zwei neue Cloudflare-Secrets in Produktion gesetzt: VERWALTUNG_SESSION_SECRET (zufällig erzeugt) und VERWALTUNG_ACCESS_CODE (der eigentliche Tages-Code, an qciga und VanVan zu verteilen). Co-Authored-By: Claude Sonnet 5 <[email protected]>
55 lines
2.2 KiB
JavaScript
55 lines
2.2 KiB
JavaScript
/* =====================================================================
|
|
GET /api/verwaltung/orders — liefert ALLE echten Bestellungen (+ Positionen) für die
|
|
interne Verwaltungsseite (siehe src/pages/verwaltung/index.astro).
|
|
|
|
Zusätzlich zur Middleware (functions/_middleware.js, schützt /api/verwaltung/* IMMER,
|
|
unabhängig von SITE_PUBLIC) prüft diese Route die Sitzung noch einmal selbst — Verteidigung
|
|
in der Tiefe, falls diese Datei mal unabhängig von der Middleware aufgerufen wird. Das
|
|
umfasst BEIDE Schranken: den normalen Seitenzugang UND den zusätzlichen Verwaltungs-
|
|
Tages-Code (siehe functions/_shared/verwaltung-auth.js). ===================================================================== */
|
|
|
|
import { getGateRole, unauthorizedJson } from "../../_shared/auth.js";
|
|
import { hatGueltigeVerwaltungSitzung } from "../../_shared/verwaltung-auth.js";
|
|
import { json } from "../../_shared/http.js";
|
|
|
|
export async function onRequestGet(context) {
|
|
const { request, env } = context;
|
|
|
|
const role = await getGateRole(request, env);
|
|
if (!role) return unauthorizedJson();
|
|
if (!(await hatGueltigeVerwaltungSitzung(request, env))) {
|
|
return json(401, { ok: false, error: "Tages-Code für die Verwaltung erforderlich." });
|
|
}
|
|
|
|
if (!env.DB) {
|
|
return json(500, { ok: false, error: "Datenbank nicht verbunden." });
|
|
}
|
|
|
|
try {
|
|
const { results: orders } = await env.DB.prepare(`SELECT * FROM orders ORDER BY created_at DESC`).all();
|
|
|
|
if (orders.length === 0) {
|
|
return json(200, { ok: true, orders: [] });
|
|
}
|
|
|
|
const ids = orders.map((o) => o.id);
|
|
const placeholders = ids.map(() => "?").join(",");
|
|
const { results: items } = await env.DB
|
|
.prepare(`SELECT * FROM order_items WHERE order_id IN (${placeholders}) ORDER BY id ASC`)
|
|
.bind(...ids)
|
|
.all();
|
|
|
|
const itemsByOrder = new Map();
|
|
items.forEach((item) => {
|
|
const liste = itemsByOrder.get(item.order_id) ?? [];
|
|
liste.push(item);
|
|
itemsByOrder.set(item.order_id, liste);
|
|
});
|
|
|
|
const result = orders.map((o) => ({ ...o, artikel: itemsByOrder.get(o.id) ?? [] }));
|
|
return json(200, { ok: true, orders: result });
|
|
} catch (err) {
|
|
return json(500, { ok: false, error: "Bestellungen konnten nicht geladen werden." });
|
|
}
|
|
}
|