Sub-Lizenzserver: Lizenzen fuer Lizenzserver ausstellbar (role='license_server')

Der Master kann jetzt ueber den normalen Kunde->Ticket->Lizenz-Flow Lizenzen ausstellen, die eine ANDERE Lizenzserver-Instanz voll funktionsfaehig machen (Kunden/Tickets/Lizenzen fuer eigene Kunden ausstellen, Benutzer/Gruppen/Einstellungen verwalten) -- mit genau einer strukturellen Einschraenkung: der so lizenzierte Sub-Lizenzserver kann selbst KEINE weiteren Lizenzserver-Lizenzen ausstellen. Die eigene Lizenz DIESES Masters bleibt weiterhin ausschliesslich per create_master_license.py erzeugbar, nie ueber die Ticket-UI. - licensing.py: neues, signiertes role-Feld (master/license_server/ customer), siehe separates TESM-Release fuer die synchronisierte Kopie (harte Invariante: beide Dateien bleiben identisch). - create_master_license.py: setzt role='master' beim Selbstausstellen. - Neue STRUKTURELLE Sperre can_issue_license_server_licenses(): True NUR wenn die eigene, aktive Lizenz dieser Instanz role=='master' ist -- haengt an der Instanz-Rolle, nicht an einer vergebbaren Permission, daher von lokalen Admins eines Sub-Lizenzservers nicht aufhebbar. Kombiniert mit current_user.is_admin an jeder Aufrufstelle (nur echte Admins duerfen es je nutzen, wie gewuenscht -- kein delegierbares Recht). - license_tickets.role-Spalte (Migration, Default 'customer'). license_tickets.role bestimmt, welche Rolle eine daraus ausgestellte Lizenz traegt -- nach Anlage unveraendert wie customer_id. - ticket_new(): neue, nur fuer can_issue_license_server_licenses()+Admin sichtbare Option 'Dies ist eine Lizenzserver-Lizenz'. Jeder andere Versuch (manipuliertes Formular, Sub-Lizenzserver, Nicht-Admin) wird serverseitig still auf 'customer' zurueckgestuft. Module werden fuer role!='customer' erzwungen auf [] (TESM-Client-Konzept, fuer einen Lizenzserver bedeutungslos). - Self-Service (unauthentifiziert, nur ueber die Ticket-ID) ist fuer role!='customer'-Tickets komplett gesperrt (404) -- Lizenzserver- Lizenzen sind ausschliesslich admin-verwaltet, kein Kundenweg. Trial- Ausstellung ('30 Tage, alle Module') ebenfalls nur fuer role=customer moeglich (ValueError sonst, sauber abgefangen statt 500er). - license_send_email(): ueberspringt Self-Service-/Kundenportal-Hinweise fuer role='license_server'-Lizenzen (waeren ohnehin blockiert). - UI: 'Lizenzserver'-Badge auf Tickets-/Lizenzen-Liste und Ticket- Detailseite. Getestet: licensing.py isoliert (role signiert+verifiziert, Manipulation bricht die Signatur, Altformat ohne role faellt auf 'customer' zurueck), can_issue_license_server_licenses()-Logik (6 Kombinationen), Schema- Migration (Alt-DB ohne role-Spalte, idempotent), Ende-zu-Ende Ticket-> Lizenz-Ausstellung gegen echte create_db.py-DB. ZUSAETZLICH gegen einen echten, lokal laufenden Flask-Server (native Windows-Python, WSL- Netzwerksandbox in dieser Umgebung unzuverlaessig) voll durchgespielt: Checkbox erscheint nur fuer role=master, Ticket+Lizenz-Ausstellung mit role=license_server funktioniert Ende-zu-Ende (signierte Datei, Module leer, Self-Service liefert 404), UND der Sicherheitstest: nach Wechsel der eigenen Lizenz auf role=license_server verschwindet die Checkbox UND ein direkter manipulierter POST mit role=license_server wird serverseitig zuverlaessig auf 'customer' zurueckgestuft. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Eigenes Recht fuer Tickets (tickets.view/.create/.edit)
2026-08-23 22:08:19 +02:00 · 2026-08-23 21:33:33 +02:00 · 2026-08-23 21:11:02 +02:00 · 2026-08-23 17:34:39 +02:00 · 2026-08-23 17:03:55 +02:00 · 2026-08-23 16:33:16 +02:00
14 changed files with 846 additions and 159 deletions
@@ -1 +1 @@
-1.2.0
+1.2.6
@@ -162,12 +162,24 @@ CREATE TABLE IF NOT EXISTS license_tickets (
    valid_days INTEGER NOT NULL,
    lifetime INTEGER NOT NULL DEFAULT 0,
    status TEXT NOT NULL DEFAULT 'open',
+    role TEXT NOT NULL DEFAULT 'customer',
    created_by TEXT,
    created_at TEXT NOT NULL,
    FOREIGN KEY (customer_id) REFERENCES license_customers(id)
 );
 """)

+c.execute("""
+CREATE TABLE IF NOT EXISTS portal_access_tokens (
+    token TEXT PRIMARY KEY,
+    customer_id INTEGER NOT NULL,
+    created_at TEXT NOT NULL,
+    expires_at TEXT NOT NULL,
+    used_at TEXT,
+    FOREIGN KEY (customer_id) REFERENCES license_customers(id)
+);
+""")
+
 c.execute("INSERT OR IGNORE INTO settings (key, value) VALUES (?, ?)", ("interval", "5"))

 cur = c.execute("INSERT OR IGNORE INTO groups (name, is_default, is_system) VALUES (?, 1, 1)", ("Benutzer",))
@@ -74,6 +74,12 @@ def main():
        master_public_key_b64=master_pub,
        master_endpoint="",
        vendor={"name": "", "phone": "", "email": "", "address": "", "logo_base64": ""},
+        # role="master": markiert dies als die Wurzel-Instanz -- NUR dieses
+        # Skript darf role="master" setzen (siehe LICENSE_ROLES in
+        # licensing.py). app.py bietet role="master" an keiner Stelle über
+        # die normale Ticket-/Ausstellungs-UI an; das ist die einzige Rolle,
+        # die selbst weitere role="license_server"-Lizenzen ausstellen darf.
+        role="master",
    )
    with open(LICENSE_PATH, "w", encoding="utf-8") as f:
        json.dump(license_file, f, indent=2)
@@ -39,6 +39,31 @@ from cryptography.hazmat.primitives.asymmetric.ed25519 import Ed25519PrivateKey,
 LICENSE_TYPES = ("trial", "standard", "custom", "enterprise")
 ALL_MODULES = ("dhcp", "fileshare", "maintenance")

+# Rolle der lizenzierten Instanz, eingebettet in JEDE ausgestellte
+# Lizenzdatei (signiert, siehe issue_license) -- NICHT nur DB-seitige
+# Buchfuehrung wie das gleichnamige, bislang ungenutzte licenses.role-Feld
+# in der Master-DB vorher. Ermoeglicht einer lizenzierten Instanz, anhand
+# ihrer EIGENEN, geladenen Lizenz strukturell zu erkennen, was sie darf:
+# "master"          -- die Wurzel-Instanz. Wird AUSSCHLIESSLICH lokal per
+#                      create_master_license.py erzeugt, NIE ueber die
+#                      normale Ticket-/Ausstellungs-UI -- das waere sonst
+#                      eine Moeglichkeit, sich selbst zur Wurzel zu
+#                      erklaeren. Einzige Rolle, die weitere
+#                      "license_server"-Lizenzen ausstellen darf.
+# "license_server"  -- ein vom Master (oder einer anderen "master"-Instanz)
+#                      ausgestellter Lizenzserver ("Sub-Lizenzserver").
+#                      Darf alles, was ein Lizenzserver koennen soll
+#                      (Kunden/Tickets/Lizenzen fuer eigene TESM-Kunden
+#                      ausstellen, Benutzer/Gruppen/Einstellungen
+#                      verwalten) -- AUSSER selbst weitere
+#                      "license_server"-Lizenzen ausstellen. Diese Sperre
+#                      ist strukturell (haengt an der eigenen Rolle, nicht
+#                      an einem vergebbaren Recht) und daher auch von einem
+#                      lokalen Admin dieser Instanz nicht aufhebbar.
+# "customer"        -- eine gewoehnliche TESM-Kundeninstanz (Default,
+#                      unveraendertes Verhalten).
+LICENSE_ROLES = ("master", "license_server", "customer")
+
 GRACE_PERIOD_DAYS = 30       # nach Ablauf, bevor lizenzpflichtige Funktionen tatsächlich abgeschaltet werden
 EXPIRY_WARNING_DAYS = 30     # Vorlauf für die orange "läuft bald ab"-Anzeige
 HEARTBEAT_WARNING_DAYS = 14  # Nichterreichbarkeits-Hinweis (rein informativ, schaltet nie etwas ab)
@@ -120,13 +145,23 @@ LIFETIME_EXPIRES_AT = "2099-12-31T00:00:00Z"

 def issue_license(*, customer, license_type, modules, valid_days,
                   master_private_key_b64, master_public_key_b64,
-                   master_endpoint, vendor, license_id=None, now=None, lifetime=False):
+                   master_endpoint, vendor, license_id=None, now=None, lifetime=False,
+                   role="customer"):
    """Vom MASTER aufgerufen: erzeugt eine neue, signierte Lizenz samt
    frischem Pro-Lizenz-Schlüsselpaar.

    lifetime=True ignoriert valid_days komplett und setzt stattdessen das
    feste Sentinel-Datum LIFETIME_EXPIRES_AT -- siehe dortigen Kommentar.

+    role (siehe LICENSE_ROLES): "customer" (Default, unverändertes
+    Verhalten) für gewöhnliche TESM-Kundeninstanzen, "license_server" für
+    einen vom Aufrufer ausgestellten Sub-Lizenzserver. role="master" darf
+    NUR von create_master_license.py verwendet werden (lokal, ohne diese
+    Funktion über die normale Ticket-UI aufzurufen) -- diese Funktion prüft
+    das nicht selbst, das Verbot ist stattdessen dadurch durchgesetzt, dass
+    die App-seitige Ausstellungsfunktion role="master" gar nicht erst als
+    Option anbietet (siehe app.py can_issue_license_server_licenses()).
+
    Rückgabe: (license_file, license_pubkey) -- license_file ist die
    komplette, an den Kunden auszuhändigende Datei (inkl. dem PRIVATEN
    Lizenzschlüssel); license_pubkey ist NUR für die Master-Datenbank
@@ -134,6 +169,8 @@ def issue_license(*, customer, license_type, modules, valid_days,
    dieser Lizenz) und wird nicht an den Kunden weitergegeben."""
    if license_type not in LICENSE_TYPES:
        raise ValueError(f"Unbekannter Lizenztyp: {license_type!r} (erlaubt: {LICENSE_TYPES})")
+    if role not in LICENSE_ROLES:
+        raise ValueError(f"Unbekannte Rolle: {role!r} (erlaubt: {LICENSE_ROLES})")
    unknown = set(modules) - set(ALL_MODULES)
    if unknown:
        raise ValueError(f"Unbekannte Module: {sorted(unknown)} (erlaubt: {ALL_MODULES})")
@@ -151,6 +188,7 @@ def issue_license(*, customer, license_type, modules, valid_days,
        "master_pubkey": master_public_key_b64,
        "master_endpoint": master_endpoint,
        "vendor": vendor,
+        "role": role,
    }
    signature = sign_payload(payload, master_private_key_b64)
    license_file = {**payload, "license_privkey": license_priv, "signature": signature}
@@ -190,6 +228,12 @@ def license_status(license_file: dict, now=None) -> dict:
        "type": license_file.get("type"),
        "customer": license_file.get("customer"),
        "expires_at": license_file.get("expires_at"),
+        # .get(..., "customer"): aeltere, vor Einfuehrung von role signierte
+        # Lizenzdateien haben dieses Feld noch nicht -- fehlend bedeutet
+        # unveraendert "gewoehnliche Kundeninstanz", nie "master"/
+        # "license_server" (sonst koennte eine alte Datei rueckwirkend
+        # unbeabsichtigt privilegiert erscheinen).
+        "role": license_file.get("role", "customer"),
    }


@@ -31,10 +31,11 @@
      <th data-sort-key="address">Anschrift</th>
      <th data-sort-key="email">Kontakt</th>
      <th data-sort-key="tickets">Tickets</th>
+      <th data-sort-key="licenses">Lizenzen</th>
      <th style="width:1%;">Aktionen</th>
    </tr></thead>
    {% for c in customers %}
-    <tbody data-sort-name="{{ c.name|lower }}" data-sort-address="{{ (c.city or '')|lower }}" data-sort-email="{{ (c.contact_email or '')|lower }}" data-sort-tickets="{{ c.ticket_count }}">
+    <tbody data-sort-name="{{ c.name|lower }}" data-sort-address="{{ (c.city or '')|lower }}" data-sort-email="{{ (c.contact_email or '')|lower }}" data-sort-tickets="{{ c.ticket_count }}" data-sort-licenses="{{ c.license_count }}">
      <tr>
        <td class="cell-name">{{ c.name }}</td>
        <td class="text-dim">
@@ -47,6 +48,7 @@
          {% if c.contact_person %}<br><span class="text-faint" style="font-size:11px;">{{ c.contact_person }}</span>{% endif %}
        </td>
        <td class="text-dim"><a href="{{ url_for('tickets_list', customer_id=c.id) }}">{{ c.ticket_count }}</a></td>
+        <td class="text-dim"><a href="{{ url_for('licenses_list', customer_id=c.id) }}">{{ c.license_count }}</a></td>
        <td>
          <div class="row-actions">
            {% if can_edit %}
@@ -73,7 +75,7 @@
    </tbody>
    {% else %}
    <tbody data-sort-pinned>
-      <tr class="empty-row"><td colspan="5">Noch keine Kunden angelegt.</td></tr>
+      <tr class="empty-row"><td colspan="6">Noch keine Kunden angelegt.</td></tr>
    </tbody>
    {% endfor %}
  </table>
@@ -130,12 +132,6 @@
          <label>Notizen</label>
          <textarea name="notes" rows="3" {% if not can_edit %}disabled{% endif %}>{{ c.notes or '' }}</textarea>
        </div>
-        {% if c.portal_token %}
-        <div class="field">
-          <label>Kundenportal-Link (alle Tickets)</label>
-          <input type="text" class="mono" value="{{ url_for('customer_portal', token=c.portal_token, _external=True) }}" readonly onclick="this.select()">
-        </div>
-        {% endif %}
      </div>
      {% if can_edit %}
      <div class="modal-footer">
@@ -0,0 +1,123 @@
+{% extends "base.html" %}
+{% set active_page = "licenses" %}
+{% block page_title %}Lizenzen{% endblock %}
+{% block page_sub %}<div class="topbar-sub">Alle ausgestellten Lizenzen{% if filter_customer %} -- {{ filter_customer.name }}{% elif filter_ticket %} -- Ticket{% endif %}</div>{% endblock %}
+
+{% block content %}
+
+<div class="section-head">
+  <div>
+    <h2 style="font-size:16px;">Lizenzen</h2>
+    <div class="hint">
+      Jede Zeile ist eine konkrete, signierte Lizenzdatei -- ausgestellt aus einem Ticket (siehe <a href="{{ url_for('tickets_list') }}" style="color:var(--accent-strong); font-weight:600;">Tickets</a>). Herunterladen, per E-Mail versenden oder widerrufen geschieht auf der Detailseite.
+    </div>
+  </div>
+</div>
+
+{% if filter_ticket or filter_customer %}
+<div class="notice-banner" style="margin-bottom:14px;">
+  Gefiltert nach {% if filter_customer %}Kunde „{{ filter_customer.name }}“{% endif %}{% if filter_ticket %}Ticket{% endif %} --
+  <a href="{{ url_for('licenses_list') }}">Filter entfernen</a>
+</div>
+{% endif %}
+
+<div class="table-wrap">
+  <div class="table-toolbar">
+    <div class="search-input">
+      <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round"><circle cx="11" cy="11" r="7"/><path d="M21 21l-4.3-4.3"/></svg>
+      <input type="text" id="licenseSearch" placeholder="Lizenzen durchsuchen…" oninput="filterLicensesTable()">
+    </div>
+  </div>
+  <div style="overflow-x:auto;">
+  <table class="data-table" id="licensesTable" data-sortable>
+    <thead><tr>
+      <th data-sort-key="customer">Kunde</th>
+      <th>Lizenz-ID</th>
+      <th data-sort-key="type">Typ</th>
+      <th data-sort-key="issued">Ausgestellt</th>
+      <th data-sort-key="expires">Ablauf</th>
+      <th data-sort-key="status">Status</th>
+      <th data-sort-key="heartbeat">Letzter Heartbeat</th>
+      <th style="width:1%;">Aktionen</th>
+    </tr></thead>
+    {% for l in licenses %}
+    <tbody data-sort-customer="{{ l.customer_name|lower }}" data-sort-type="{{ l.type }}"
+           data-sort-issued="{{ l.issued_at }}" data-sort-expires="{{ l.expires_at }}"
+           data-sort-status="{{ l.status }}" data-sort-heartbeat="{{ l.last_heartbeat_at or '' }}">
+      <tr>
+        <td class="cell-name">
+          {{ l.customer_name }}
+          {% if l.role == 'license_server' %}<span class="pill admin" style="margin-left:6px;">Lizenzserver</span>{% endif %}
+        </td>
+        <td class="mono text-dim">{{ l.license_id[:8] }}…</td>
+        <td>{{ type_labels.get(l.type, l.type) }}</td>
+        <td class="text-dim">{{ l.issued_at[:10] }}</td>
+        <td class="text-dim">
+          {% if l.is_lifetime %}Lifetime
+          {% else %}
+            {{ l.expires_at[:10] }}
+            {% if l.status == 'active' %}
+              {% if l.is_expired %}<span style="color:var(--danger);">(abgelaufen)</span>
+              {% elif l.color in ('red', 'orange') %}<span style="color:{{ 'var(--danger)' if l.color == 'red' else 'var(--warning)' }};">({{ l.days_left }} Tage)</span>
+              {% endif %}
+            {% endif %}
+          {% endif %}
+        </td>
+        <td>
+          <span class="pill {{ {'active': 'online', 'issued': 'unknown', 'deactivated': 'disabled', 'revoked': 'offline'}.get(l.status, 'disabled') }}">
+            {{ {"issued": "Ausgestellt", "active": "Aktiv", "deactivated": "Deaktiviert", "revoked": "Widerrufen"}.get(l.status, l.status) }}
+          </span>
+        </td>
+        <td class="text-dim">{{ l.last_heartbeat_at or '—' }}</td>
+        <td>
+          <div class="row-actions">
+            <a class="icon-btn" title="Details" href="{{ url_for('license_detail', license_id=l.license_id) }}">
+              <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M1 12s4-8 11-8 11 8 11 8-4 8-11 8-11-8-11-8z"/><circle cx="12" cy="12" r="3"/></svg>
+            </a>
+            {% if can_edit %}
+            <a class="icon-btn" title="Herunterladen" href="{{ url_for('license_download', license_id=l.license_id) }}">
+              <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 15v4a2 2 0 01-2 2H5a2 2 0 01-2-2v-4"/><path d="M7 10l5 5 5-5"/><path d="M12 15V3"/></svg>
+            </a>
+            {% if l.status not in ('revoked',) %}
+            <form method="post" action="{{ url_for('license_revoke', license_id=l.license_id) }}"
+                  data-confirm="Lizenz wirklich widerrufen?">
+              <button type="submit" class="icon-btn" title="Widerrufen">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="10"/><path d="M15 9l-6 6M9 9l6 6"/></svg>
+              </button>
+            </form>
+            {% endif %}
+            {% if l.status in ('revoked', 'issued') %}
+            <form method="post" action="{{ url_for('license_delete', license_id=l.license_id) }}"
+                  data-confirm="Lizenz wirklich löschen? Das zugehörige Ticket bleibt bestehen.">
+              <button type="submit" class="icon-btn" style="color:var(--danger);" title="Löschen">
+                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M3 6h18M8 6V4a2 2 0 012-2h4a2 2 0 012 2v2m3 0l-1 14a2 2 0 01-2 2H7a2 2 0 01-2-2L4 6"/></svg>
+              </button>
+            </form>
+            {% endif %}
+            {% endif %}
+          </div>
+        </td>
+      </tr>
+    </tbody>
+    {% else %}
+    <tbody data-sort-pinned>
+      <tr class="empty-row"><td colspan="8">Noch keine Lizenz ausgestellt.</td></tr>
+    </tbody>
+    {% endfor %}
+  </table>
+  </div>
+</div>
+
+{% endblock %}
+
+{% block scripts %}
+<script>
+function filterLicensesTable() {
+    const q = document.getElementById("licenseSearch").value.trim().toLowerCase();
+    document.querySelectorAll("#licensesTable tbody").forEach(tbody => {
+        if (tbody.hasAttribute("data-sort-pinned")) return;
+        tbody.style.display = tbody.innerText.toLowerCase().includes(q) ? "" : "none";
+    });
+}
+</script>
+{% endblock %}
@@ -37,7 +37,10 @@
      </div>
      <button type="submit" class="btn btn-primary btn-block" style="margin-top:6px;">Anmelden</button>
    </form>
-    <div style="margin-top:16px; font-size:10.5px; color:var(--text-faint); text-align:center;">TESM-Lizenzserver v{{ tesm_version }}</div>
+    <div style="margin-top:16px; font-size:11px; text-align:center;">
+      Kunde? <a href="{{ url_for('portal_request') }}">Zugang zu meinem Konto anfordern</a>
+    </div>
+    <div style="margin-top:12px; font-size:10.5px; color:var(--text-faint); text-align:center;">TESM-Lizenzserver v{{ tesm_version }}</div>
  </div>
 </div>

@@ -0,0 +1,48 @@
+<!DOCTYPE html>
+<html lang="de" data-theme="dark">
+<head>
+<meta charset="UTF-8">
+<meta name="viewport" content="width=device-width, initial-scale=1">
+<title>Zugang anfordern · TESM-Lizenzserver</title>
+<link rel="icon" type="image/svg+xml" href="{{ url_for('static', filename='images/icon-dark.svg') }}" id="app-favicon">
+<link rel="stylesheet" href="{{ asset_url('css/style.css') }}">
+</head>
+<body>
+
+<div class="login-page">
+  <div class="login-bg">
+    <img src="{{ url_for('static', filename='images/logo-dark.svg') }}" alt="TESM-Lizenzserver" id="login-bg-logo">
+  </div>
+  <div class="login-card">
+    <h1>Zugang zu meinem Konto</h1>
+    <div class="hint" style="text-align:center; margin-bottom:18px;">
+      Für Kunden: Link zum eigenen Kundenportal erneut zuschicken lassen.
+    </div>
+
+    {% with messages = get_flashed_messages() %}
+      {% if messages %}
+        <div class="field" style="margin-bottom:18px;">
+          {% for message in messages %}
+          <div class="toast success" style="position:static; animation:none;">{{ message }}</div>
+          {% endfor %}
+        </div>
+      {% endif %}
+    {% endwith %}
+
+    <form method="post" data-no-unsaved-guard>
+      <div class="field">
+        <label for="email">Ihre E-Mail-Adresse</label>
+        <input type="email" id="email" name="email" autocomplete="email" required autofocus>
+      </div>
+      <button type="submit" class="btn btn-primary btn-block" style="margin-top:6px;">Link zusenden</button>
+    </form>
+    <div style="margin-top:16px; font-size:11px; text-align:center;">
+      <a href="{{ url_for('login') }}">← Zurück zum Login</a>
+    </div>
+    <div style="margin-top:16px; font-size:10.5px; color:var(--text-faint); text-align:center;">TESM-Lizenzserver</div>
+  </div>
+</div>
+
+<script src="{{ asset_url('js/app.js') }}"></script>
+</body>
+</html>
@@ -17,7 +17,7 @@
    <h1>Meine Lizenz</h1>
    <div class="hint" style="text-align:center; margin-bottom:18px;">
      {{ customer.name if customer else '' }}
-      {% if portal_url %}<br><a href="{{ portal_url }}">← Alle meine Tickets</a>{% endif %}
+      <br><a href="{{ portal_request_url }}">← Alle meine Tickets anzeigen</a>
    </div>

    {% with messages = get_flashed_messages() %}
@@ -1,6 +1,6 @@
 {% extends "base.html" %}
 {% set active_page = "settings_license" %}
-{% set can_edit = current_user.has_permission('settings_system.edit') %}
+{% set can_edit = current_user.has_permission('settings_license.edit') %}
 {% block page_title %}Lizenz{% endblock %}
 {% block page_sub %}<div class="topbar-sub">Lizenzstatus, Module und Aktivierung dieses Systems</div>{% endblock %}

@@ -10,26 +10,40 @@
  <div class="card card-pad">
    <div class="section-head" style="margin-bottom:16px;">
      <div><h2 style="font-size:16px;">Ticket</h2></div>
-      <span class="pill {{ 'online' if ticket.status == 'open' else 'offline' }}">
-        {{ 'Offen' if ticket.status == 'open' else 'Gesperrt' }}
-      </span>
+      <div class="flex gap-2">
+        {% if ticket.role == 'license_server' %}
+        <span class="pill admin">Lizenzserver</span>
+        {% endif %}
+        <span class="pill {{ 'online' if ticket.status == 'open' else 'offline' }}">
+          {{ 'Offen' if ticket.status == 'open' else 'Gesperrt' }}
+        </span>
+      </div>
    </div>
+    {% if ticket.role == 'license_server' %}
+    <div class="notice-banner notice-banner--warning" style="margin-bottom:14px;">
+      Lizenzserver-Ticket: eine daraus ausgestellte Lizenz macht die Zielinstanz zu einem vollwertigen Sub-Lizenzserver
+      (darf eigene Kunden/Tickets/Lizenzen ausstellen, Benutzer/Gruppen/Einstellungen verwalten) — außer selbst weitere
+      Lizenzserver-Lizenzen ausstellen. Kein Self-Service-Zugang für diesen Ticket-Typ.
+    </div>
+    {% endif %}
    <div class="field"><label>Kunde</label><input type="text" value="{{ customer.name if customer else '?' }}" disabled></div>
    <div class="field"><label>Lizenztyp</label><input type="text" value="{{ type_labels.get(ticket.type, ticket.type) }}" disabled></div>
+    {% if ticket.role == 'customer' %}
    <div class="field"><label>Module</label><input type="text" value="{{ modules_list|join(', ') if modules_list else 'keine' }}" disabled></div>
+    {% endif %}
    <div class="field"><label>Gültigkeitsdauer</label><input type="text" value="{{ 'Lifetime (unbegrenzt)' if ticket.lifetime else ticket.valid_days ~ ' Tage' }}" disabled></div>
+    {% if ticket.role == 'customer' %}
    <div class="field">
      <label>Self-Service-Link (dieses Ticket) {{ hi.hint_icon("Diesen Link an den Kunden weitergeben -- damit kann er seine Lizenz selbst herunterladen, widerrufen und (mit diesen Eckdaten) neu erstellen, ohne Login.", "Self-Service-Link") }}</label>
      <input type="text" class="mono" value="{{ self_service_url }}" readonly onclick="this.select()">
    </div>
-    {% if portal_url %}
-    <div class="field">
-      <label>Kundenportal-Link (alle Tickets des Kunden) {{ hi.hint_icon("Zeigt dem Kunden ALLE seine Tickets samt Lizenzstatus und erlaubt ihm, seine Kontaktdaten selbst zu pflegen.", "Kundenportal-Link") }}</label>
-      <input type="text" class="mono" value="{{ portal_url }}" readonly onclick="this.select()">
+    <div class="hint" style="margin-top:6px;">
+      Übersicht über ALLE Tickets des Kunden {{ hi.hint_icon("Es gibt bewusst keinen dauerhaften Kundenportal-Link mehr -- der Kunde fordert sich unter " ~ portal_request_url ~ " bei Bedarf selbst einen zeitlich begrenzten Zugang an.", "Kundenportal") }}:
+      der Kunde fordert ihn selbst über <a href="{{ portal_request_url }}" target="_blank" rel="noopener">{{ portal_request_url }}</a> an (zeitlich begrenzter Zugang, keine dauerhafte Freigabe).
    </div>
    {% endif %}

-    {% if can_edit %}
+    {% if can_edit_ticket %}
    <div class="flex gap-2" style="margin-top:14px;">
      <button type="button" class="btn btn-secondary" style="flex:1;" data-open-modal="editTicketModal">
        <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M11 4H4a2 2 0 00-2 2v14a2 2 0 002 2h14a2 2 0 002-2v-7"/><path d="M18.5 2.5a2.121 2.121 0 013 3L12 15l-4 1 1-4 9.5-9.5z"/></svg>
@@ -71,7 +85,7 @@
      Es gibt bereits eine aktive oder ausgestellte Lizenz zu diesem Ticket (siehe unten) — erst widerrufen, dann kann
      eine neue erstellt werden.
    </p>
-    {% elif can_edit %}
+    {% elif can_issue_license %}
    <form method="post" style="margin-bottom:10px;">
      <input type="hidden" name="issue_license" value="regular">
      <button type="submit" class="btn btn-primary btn-block">
@@ -79,58 +93,44 @@
        {{ type_labels.get(ticket.type, ticket.type) }}-Lizenz erstellen ({{ 'Lifetime' if ticket.lifetime else ticket.valid_days ~ ' Tage' }})
      </button>
    </form>
+    {% if ticket.role == 'customer' %}
    <form method="post">
      <input type="hidden" name="issue_license" value="trial">
      <button type="submit" class="btn btn-secondary btn-block">Stattdessen Trial erstellen (30 Tage, alle Module)</button>
    </form>
    {% endif %}
+    {% endif %}
  </div>

  <div class="card card-pad" style="grid-column: 1 / -1;">
    <div class="section-head" style="margin-bottom:16px;">
-      <div><h2 style="font-size:16px;">Lizenzen zu diesem Ticket</h2></div>
+      <div><h2 style="font-size:16px;">Aktuelle Lizenz</h2></div>
+      <a href="{{ url_for('licenses_list', ticket_id=ticket.id) }}" class="btn btn-secondary">
+        Alle Lizenzen dieses Tickets →
+      </a>
    </div>
-    <div style="overflow-x:auto;">
-    <table class="data-table">
-      <thead><tr><th>Lizenz-ID</th><th>Typ</th><th>Ablauf</th><th>Status</th><th style="width:1%;">Aktionen</th></tr></thead>
-      {% for l in licenses %}
-      <tbody>
-        <tr>
-          <td class="mono text-dim">{{ l.license_id[:8] }}…</td>
-          <td>{{ type_labels.get(l.type, l.type) }}</td>
-          <td class="text-dim">{{ 'Lifetime' if l.is_lifetime else l.expires_at[:10] }}</td>
-          <td>
-            <span class="pill {{ {'active': 'online', 'issued': 'unknown', 'deactivated': 'disabled', 'revoked': 'offline'}.get(l.status, 'disabled') }}">
-              {{ {"issued": "Ausgestellt", "active": "Aktiv", "deactivated": "Deaktiviert", "revoked": "Widerrufen"}.get(l.status, l.status) }}
-            </span>
-          </td>
-          <td>
-            <div class="row-actions">
-              <a class="icon-btn" title="Details" href="{{ url_for('license_detail', license_id=l.license_id) }}">
-                <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M1 12s4-8 11-8 11 8 11 8-4 8-11 8-11-8-11-8z"/><circle cx="12" cy="12" r="3"/></svg>
-              </a>
-              {% if can_edit and l.status in ('revoked', 'issued') %}
-              <form method="post" action="{{ url_for('license_delete', license_id=l.license_id) }}"
-                    data-confirm="Lizenz wirklich löschen? Das Ticket bleibt bestehen -- eine neue Lizenz mit denselben Eckdaten kann jederzeit daraus erstellt werden.">
-                <button type="submit" class="icon-btn" style="color:var(--danger);" title="Löschen">
-                  <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M3 6h18M8 6V4a2 2 0 012-2h4a2 2 0 012 2v2m3 0l-1 14a2 2 0 01-2 2H7a2 2 0 01-2-2L4 6"/></svg>
-                </button>
-              </form>
-              {% endif %}
-            </div>
-          </td>
-        </tr>
-      </tbody>
-      {% else %}
-      <tbody><tr class="empty-row"><td colspan="5">Noch keine Lizenz aus diesem Ticket erstellt.</td></tr></tbody>
-      {% endfor %}
-    </table>
+    {% if licenses %}
+    {% set l = licenses[0] %}
+    <div class="flex gap-2" style="align-items:center; flex-wrap:wrap;">
+      <span class="mono text-dim">{{ l.license_id[:8] }}…</span>
+      <span>{{ type_labels.get(l.type, l.type) }}</span>
+      <span class="text-dim">{{ 'Lifetime' if l.is_lifetime else 'bis ' ~ l.expires_at[:10] }}</span>
+      <span class="pill {{ {'active': 'online', 'issued': 'unknown', 'deactivated': 'disabled', 'revoked': 'offline'}.get(l.status, 'disabled') }}">
+        {{ {"issued": "Ausgestellt", "active": "Aktiv", "deactivated": "Deaktiviert", "revoked": "Widerrufen"}.get(l.status, l.status) }}
+      </span>
+      <a href="{{ url_for('license_detail', license_id=l.license_id) }}" class="btn btn-sm btn-secondary">Details →</a>
    </div>
+    {% if licenses|length > 1 %}
+    <div class="hint" style="margin-top:10px;">{{ licenses|length - 1 }} weitere ältere Lizenz{{ 'en' if licenses|length > 2 else '' }} aus diesem Ticket -- siehe „Alle Lizenzen dieses Tickets“ oben.</div>
+    {% endif %}
+    {% else %}
+    <p class="text-faint" style="font-size:12.5px;">Noch keine Lizenz aus diesem Ticket erstellt.</p>
+    {% endif %}
  </div>

 </div>

-{% if can_edit %}
+{% if can_edit_ticket %}
 <div class="modal-overlay" id="editTicketModal">
  <div class="modal" style="max-width:520px;">
    <form method="post" action="{{ url_for('ticket_edit', ticket_id=ticket.id) }}">
@@ -35,6 +35,15 @@
        <div class="hint" style="margin-bottom:14px;">Weitere Angaben (Anschrift, Ansprechpartner, Telefon) lassen sich anschließend unter <a href="{{ url_for('customers') }}">Kunden</a> ergänzen.</div>
      </div>

+      {% if can_issue_license_server %}
+      <div class="field">
+        <label class="check-row">
+          <input type="checkbox" name="role" value="license_server" id="role_license_server" onchange="toggleLicenseServerRole()">
+          Dies ist eine Lizenzserver-Lizenz {{ hi.hint_icon("Für einen Sub-Lizenzserver, nicht für eine gewöhnliche TESM-Kundeninstanz. Die daraus ausgestellte Lizenz macht die Zielinstanz zu einem vollwertigen Lizenzserver -- eigene Kunden/Tickets/Lizenzen ausstellen, Benutzer/Gruppen/Einstellungen verwalten -- außer selbst weitere Lizenzserver-Lizenzen ausstellen (das bleibt strukturell dieser Instanz vorbehalten). Kein Self-Service-Zugang, Module sind bedeutungslos.", "Lizenzserver-Lizenz") }}
+        </label>
+      </div>
+      {% endif %}
+
      <div class="field">
        <label for="license_type">Lizenztyp {{ hi.hint_icon("Trial: zeitlich begrenzt, voller Zugriff. Standard: alle lizenzpflichtigen Basis-Funktionen, keine Zusatzmodule. Custom: Standard + einzeln wählbare Module. Enterprise: alles. Unabhängig vom hier gewählten Typ kann aus jedem Ticket zusätzlich jederzeit eine separate Trial-Lizenz erzeugt werden.", "Lizenztyp") }}</label>
        <select name="license_type" id="license_type" onchange="toggleModuleFields()" required>
@@ -90,7 +99,12 @@ function toggleNewCustomerFields() {
 }
 function toggleModuleFields() {
    const type = document.getElementById("license_type").value;
-    document.getElementById("moduleFields").classList.toggle("hidden", type !== "custom");
+    const roleBox = document.getElementById("role_license_server");
+    const isLicenseServer = roleBox && roleBox.checked;
+    // Module sind bei einer Lizenzserver-Lizenz bedeutungslos (siehe
+    // ticket_new() in app.py, erzwingt dort ohnehin modules=[]) -- Feld
+    // bleibt unabhaengig vom Lizenztyp ausgeblendet.
+    document.getElementById("moduleFields").classList.toggle("hidden", isLicenseServer || type !== "custom");
    // Trial + Lifetime waere eine dauerhaft nie ablaufende Lizenz ohne
    // jedes Modul -- serverseitig ohnehin unterbunden (siehe ticket_new()
    // in app.py), hier nur als klares UI-Signal ausgegraut.
@@ -101,6 +115,9 @@ function toggleModuleFields() {
        toggleLifetime();
    }
 }
+function toggleLicenseServerRole() {
+    toggleModuleFields();
+}
 function toggleLifetime() {
    const isLifetime = document.getElementById("lifetime").checked;
    document.getElementById("validDaysField").classList.toggle("hidden", isLifetime);
@@ -45,7 +45,10 @@
           data-sort-status="{{ t.license.status if t.license else '' }}"
           data-sort-heartbeat="{{ t.license.last_heartbeat_at if t.license and t.license.last_heartbeat_at else '' }}">
      <tr>
-        <td class="cell-name">{{ t.customer_name }}</td>
+        <td class="cell-name">
+          {{ t.customer_name }}
+          {% if t.role == 'license_server' %}<span class="pill admin" style="margin-left:6px;">Lizenzserver</span>{% endif %}
+        </td>
        <td>{{ type_labels.get(t.type, t.type) }}</td>
        <td class="text-dim">{{ t.modules_list|join(', ') if t.modules_list else '—' }}</td>
        <td class="text-dim">{{ 'Lifetime' if t.lifetime else t.valid_days ~ ' Tage' }}</td>
Author	SHA1	Message	Date
alientimandClaude Sonnet 5	ed2ed00a4e	Sub-Lizenzserver: Lizenzen fuer Lizenzserver ausstellbar (role='license_server') Der Master kann jetzt ueber den normalen Kunde->Ticket->Lizenz-Flow Lizenzen ausstellen, die eine ANDERE Lizenzserver-Instanz voll funktionsfaehig machen (Kunden/Tickets/Lizenzen fuer eigene Kunden ausstellen, Benutzer/Gruppen/Einstellungen verwalten) -- mit genau einer strukturellen Einschraenkung: der so lizenzierte Sub-Lizenzserver kann selbst KEINE weiteren Lizenzserver-Lizenzen ausstellen. Die eigene Lizenz DIESES Masters bleibt weiterhin ausschliesslich per create_master_license.py erzeugbar, nie ueber die Ticket-UI. - licensing.py: neues, signiertes role-Feld (master/license_server/ customer), siehe separates TESM-Release fuer die synchronisierte Kopie (harte Invariante: beide Dateien bleiben identisch). - create_master_license.py: setzt role='master' beim Selbstausstellen. - Neue STRUKTURELLE Sperre can_issue_license_server_licenses(): True NUR wenn die eigene, aktive Lizenz dieser Instanz role=='master' ist -- haengt an der Instanz-Rolle, nicht an einer vergebbaren Permission, daher von lokalen Admins eines Sub-Lizenzservers nicht aufhebbar. Kombiniert mit current_user.is_admin an jeder Aufrufstelle (nur echte Admins duerfen es je nutzen, wie gewuenscht -- kein delegierbares Recht). - license_tickets.role-Spalte (Migration, Default 'customer'). license_tickets.role bestimmt, welche Rolle eine daraus ausgestellte Lizenz traegt -- nach Anlage unveraendert wie customer_id. - ticket_new(): neue, nur fuer can_issue_license_server_licenses()+Admin sichtbare Option 'Dies ist eine Lizenzserver-Lizenz'. Jeder andere Versuch (manipuliertes Formular, Sub-Lizenzserver, Nicht-Admin) wird serverseitig still auf 'customer' zurueckgestuft. Module werden fuer role!='customer' erzwungen auf [] (TESM-Client-Konzept, fuer einen Lizenzserver bedeutungslos). - Self-Service (unauthentifiziert, nur ueber die Ticket-ID) ist fuer role!='customer'-Tickets komplett gesperrt (404) -- Lizenzserver- Lizenzen sind ausschliesslich admin-verwaltet, kein Kundenweg. Trial- Ausstellung ('30 Tage, alle Module') ebenfalls nur fuer role=customer moeglich (ValueError sonst, sauber abgefangen statt 500er). - license_send_email(): ueberspringt Self-Service-/Kundenportal-Hinweise fuer role='license_server'-Lizenzen (waeren ohnehin blockiert). - UI: 'Lizenzserver'-Badge auf Tickets-/Lizenzen-Liste und Ticket- Detailseite. Getestet: licensing.py isoliert (role signiert+verifiziert, Manipulation bricht die Signatur, Altformat ohne role faellt auf 'customer' zurueck), can_issue_license_server_licenses()-Logik (6 Kombinationen), Schema- Migration (Alt-DB ohne role-Spalte, idempotent), Ende-zu-Ende Ticket-> Lizenz-Ausstellung gegen echte create_db.py-DB. ZUSAETZLICH gegen einen echten, lokal laufenden Flask-Server (native Windows-Python, WSL- Netzwerksandbox in dieser Umgebung unzuverlaessig) voll durchgespielt: Checkbox erscheint nur fuer role=master, Ticket+Lizenz-Ausstellung mit role=license_server funktioniert Ende-zu-Ende (signierte Datei, Module leer, Self-Service liefert 404), UND der Sicherheitstest: nach Wechsel der eigenen Lizenz auf role=license_server verschwindet die Checkbox UND ein direkter manipulierter POST mit role=license_server wird serverseitig zuverlaessig auf 'customer' zurueckgestuft. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-23 22:08:19 +02:00
alientimandClaude Sonnet 5	286a3464f1	Eigenes Recht fuer Tickets (tickets.view/.create/.edit) Tickets liefen im Rechtebaum komplett ueber licenses.view/.create/.edit mit, obwohl Tickets ein eigener, gleichberechtigter Navigationspunkt neben Kunden und Lizenzen ist -- analog zu TESM, wo Clients/Switche/ Zugangsdaten trotz enger fachlicher Verwandtschaft jeweils eigene Rechte haben. Ergaenzt die im vorigen Release (v1.2.4) behobene Lizenz-Rechte-Luecke um diese zweite, gleich gelagerte Luecke. - Neues Rechtepaar tickets.view/tickets.create/tickets.edit (PERMISSIONS/PERMISSION_LABELS), Property can_manage_tickets. - Nav-Sichtbarkeit sowie tickets_list()/ticket_new()/ticket_edit()/ ticket_delete() auf das neue Recht umgestellt. - ticket_detail(): GET-Zugriff jetzt ueber can_manage_tickets. POST jetzt PRO SUB-AKTION geprueft statt eines einzigen Gates: 'toggle_block' (Sperren/Entsperren) -> tickets.edit (neu, Ticket- Domain); 'issue_license' (erstellt eine LIZENZ) bleibt bewusst unveraendert an licenses.edit gebunden, damit sich 'Tickets verwalten' und 'Lizenzen ausstellen' unabhaengig voneinander vergeben lassen, ohne dass irgendjemand automatisch die eine Faehigkeit durch die andere verliert. - tickets.html/ticket_detail.html: can_edit-Variable entsprechend in can_edit_ticket/can_issue_license aufgeteilt. - Migration (_migrated_tickets_permission_v1, einmalig geguarded): jede Gruppe mit licenses.view/.create/.edit bekommt automatisch das gespiegelte tickets.view/.create/.edit dazu -- niemand verliert beim Update stillschweigend eine Faehigkeit, die vorher implizit ueber licenses.* mitlief. - Getestet gegen isolierte Test-DB: Backfill korrekt (Gruppe mit voller Lizenz-Berechtigung bekommt volle Ticket-Berechtigung, Gruppe mit nur .view bekommt nur tickets.view), idempotent, keine Duplikate. PERMISSIONS/PERMISSION_LABELS/NAV_ITEMS erneut vollstaendig konsistent (keine Nav-Keys mehr ohne Rechte-Entsprechung), app.py syntaktisch fehlerfrei kompiliert. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-23 21:33:33 +02:00
alientimandClaude Sonnet 5	619673ac76	Eigenes Recht fuer die Lizenzseite (settings_license.view/.edit) Die Lizenzseite (Einstellungen -> Lizenz) hatte im Rechtebaum keinen eigenen Eintrag -- sie lief komplett ueber settings_system.view/.edit mit, genau wie im TESM-Client (siehe dortiger Fix). Damit konnte 'Lizenz verwalten' nicht unabhaengig von 'Systemeinstellungen verwalten' vergeben/eingeschraenkt werden. - Neues Rechtepaar settings_license.view/settings_license.edit (PERMISSIONS/PERMISSION_LABELS), Property can_view_settings_license. - Nav-Sichtbarkeit und alle /settings/license*-Routen auf das neue Recht umgestellt (view-Route: can_view_settings_license; alle mutierenden Routen -upload/-activate(/confirm)/-deactivate(/confirm): settings_license.edit). Das 'auch ohne aktive Lizenz sichtbar bleiben'-Verhalten bleibt unveraendert (andere Pruefung, license_active()). - settings_license.html: can_edit auf settings_license.edit umgestellt. - Migration (_migrated_settings_license_permission_v1, einmalig geguarded): jede Gruppe mit settings_system.view/.edit bekommt automatisch settings_license.view/.edit dazu -- niemand verliert beim Update stillschweigend Zugriff, den er vorher implizit hatte. - Getestet gegen isolierte Test-DB (create_db.py-Frischinstallation): Migration korrekt (inkl. Gruppe mit nur .view, die korrekt KEIN .edit bekommt), idempotent bei zweitem Lauf, keine Duplikate. PERMISSIONS/ PERMISSION_LABELS/NAV_ITEMS strukturell konsistent geprueft, app.py syntaktisch fehlerfrei kompiliert. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-23 21:11:02 +02:00
alientimandClaude Sonnet 5	20abadb0e7	Dashboard erfordert Login, Magic-Links nutzen konfigurierten Endpunkt statt IP (v1.2.3) ## Dashboard nur noch intern '/' (das Kachel-Dashboard) verlangt jetzt @login_required -- ein anonymer Besuch landet zuerst auf der Login-Seite (ueber Flask-Logins bereits konfigurierten login_manager.login_view), statt innerhalb der Dashboard- Huelle einen 'bitte anmelden'-Platzhalter zu zeigen. Anders als bei TESM selbst (dessen Geraete-Dashboard bewusst auch ohne Login als Status-Board sichtbar bleibt) ist der Lizenzserver ein reines internes Verwaltungs- werkzeug. ## Magic-Links zeigen den konfigurierten Lizenzserver-Endpunkt, nicht die IP Self-Service-Link, Kundenportal-Anfrage/-Zugang und der in 'Lizenz per E-Mail senden' eingebettete Link wurden bisher per url_for(..., _external=True) gebaut -- das nutzt den Host-Header der GERADE laufenden Anfrage, zeigt also z.B. die interne IP, ueber die zufaellig der Admin gerade eingeloggt ist, statt der unter Einstellungen -> Lizenz -> Anbieter & Lizenzserver gepflegten oeffentlichen Domain. Neue Hilfs- funktion _customer_facing_url() baut diese Links jetzt stattdessen aus dem admin-gepflegten Lizenzserver-Endpunkt (_get_master_endpoint(), derselbe Wert, der auch in jede Lizenzdatei eingebettet wird) -- faellt auf die alte, request-basierte externe URL zurueck, wenn der Endpunkt noch nicht konfiguriert ist (frische Installation). Verifiziert gegen eine echte Kopie der Live-Datenbank: mit konfiguriertem Endpunkt zeigt der Self-Service-Link jetzt https://tesml.int.eertmoed.net/... statt der IP, unabhaengig davon, ueber welchen Host der Admin gerade zugreift; ohne konfigurierten Endpunkt bleibt der bisherige Fallback erhalten. ## Ausserdem live behoben (kein Code-Fix, reine Konfiguration) /etc/nginx/sites-available/tesm-license auf dem Master zeigte fuer /static/ faelschlich auf /srv/tesm/static/ (ein laengst nicht mehr existierendes Verzeichnis -- Ueberbleibsel aus der Zeit vor der Repo-Trennung) statt auf /srv/tesm-license/static/, wodurch CSS/JS/ Bilder ueberall 404eten (nackte, ungestylte Seiten). install.sh schreibt die nginx-Konfiguration bewusst nur bei einer FRISCHEN Installation (um manuelle Anpassungen wie TLS-Zertifikate bei Updates nicht zu ueberschreiben) -- das im Repo hinterlegte Template selbst war bereits korrekt, nur die schon laenger bestehende Datei auf dem Master war es nicht. Direkt auf dem Master korrigiert und nginx neu geladen. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-23 17:34:39 +02:00
alientimandClaude Sonnet 5	2d920f581f	Eigenstaendige Lizenzen-Seite, entschachtelte Ticket-Ansicht, zeitlich begrenzter Kundenportal-Zugang (v1.2.2) Reaktion auf Feedback: 'Tickets und Lizenzen je Kunden war sehr sehr unintuitiv dargestellt... Kunde -> Ticket -> Lizenz aber alles auf extra Seiten, im Menü einzeln anwählbar ohne diese riesen Verschachtelung.' ## Lizenzen als eigene, gleichberechtigte Ebene (neu: /licenses) Bisher war eine Lizenz nur ueber Kunde -> gefilterte Tickets -> Ticket- Detail -> eingebettete Historie-Tabelle erreichbar. Jetzt: Kunden, Tickets UND Lizenzen sind drei eigene, direkt in der Navigation erreichbare Seiten (Reihenfolge im Menü spiegelt bewusst die fachliche Hierarchie). Kunden- und Ticket-Seite verlinken mit Filter (?customer_id=/ ?ticket_id=) dorthin, statt Lizenzdaten selbst einzubetten. Ticket-Detailseite dadurch massiv entschlackt: statt einer vollen Lizenz-Historie-Tabelle nur noch eine kompakte 'Aktuelle Lizenz'-Zeile mit Link auf die (ggf. gefilterte) Lizenzen-Seite fuer die volle Historie. ## Kundenportal: kein dauerhafter Link mehr, sondern zeitlich begrenzter Zugang Vorheriger Ansatz (v1.2.0): ein dauerhafter, unbefristeter Token pro Kunde, von Admins verteilt. Auf Nachfrage ('wie bekommt der Kunde seinen Magic-Link, wenn er ihn verloren hat?') kam eine oeffentliche 'Zugang anfordern'-Seite dazu (E-Mail eingeben -> Link zugeschickt) -- und direkt im Anschluss die berechtigte Sicherheitsfrage, ob so ein oeffentlich auf blossen Zuruf ausloesbarer Link nicht zeitlich begrenzt sein sollte. Ergebnis: der dauerhafte Link wurde komplett entfernt. Neuer, einziger Weg ins Kundenportal: 1. /portal/request -- Kunde gibt seine E-Mail ein (oeffentlich, keine Anmeldung noetig). Immer dieselbe generische Erfolgsmeldung, unabhaengig davon ob die Adresse bekannt ist (keine Enumeration). 2. Bei bekannter Adresse: ein frischer, einmalig nutzbarer Zugangs-Token (portal_access_tokens-Tabelle) wird per E-Mail verschickt, gueltig nur PORTAL_ACCESS_LINK_MINUTES (30) ab Anforderung. 3. /portal/access/<token> prueft Gueltigkeit + Einmalnutzung, markiert den Token als benutzt und setzt eine Session, die ihrerseits nach PORTAL_SESSION_MINUTES (60) automatisch ablaeuft. 4. /portal/me zeigt das eigentliche Portal (alle Tickets/Lizenzen, Kontaktdaten pflegen) -- ausschliesslich session-basiert erreichbar. license_customers.portal_token bleibt in der DB bestehen (keine riskante Schema-Ruecknahme), wird fuer die Zugriffsentscheidung aber nicht mehr herangezogen -- alle Stellen, die vorher den dauerhaften Portal-Link eingebettet haben (Ticket-Seite, Lizenz-per-E-Mail, Self-Service-Seite), verweisen jetzt stattdessen auf /portal/request. Verifiziert: bestehende Funktionstests erneut komplett durchlaufen (neue Lizenzen-Seite, entschachtelte Ticket-Seite, entfernter dauerhafter Zugang liefert 404), plus 11 neue Tests fuer den kompletten Magic-Link- Fluss (Token-Erzeugung, Einmalnutzung, Ablehnen bei Wiederverwendung/ unbekanntem/abgelaufenem Token, Session bleibt nach Erstnutzung gueltig, /portal/me ohne Session leitet zur Anfrage-Seite um) -- alle bestanden. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-23 17:03:55 +02:00
alientimandClaude Sonnet 5	c2989a6e2f	KRITISCH: 'database is locked' beim Aktivieren blockierte Online- UND Offline-Aktivierung (v1.2.1) _process_activate() hielt beim Ersetzen einer bereits aktiven Lizenz fuer denselben Fingerprint (z.B. Trial durch Enterprise, oder schlicht eine Re-Aktivierung nach einem Systemwechsel) eine offene, noch nicht committete Schreibtransaktion auf 'conn', waehrend es innerhalb der Supersede-Schleife log_action_system() aufrief -- diese Funktion oeffnet INTERN eine EIGENE, zweite Verbindung zur selben Datenbank und versucht sofort zu committen. SQLite erlaubt aber nur einen Schreiber gleichzeitig (kein WAL-Modus): die zweite Verbindung wartet auf die erste, die wiederum auf die zweite wartet, bis das Busy-Timeout (Python-Default 5s) mit 'sqlite3.OperationalError: database is locked' aufgibt. Live reproduziert: sowohl /api/activate (Online) als auch /licenses/manual-code (Offline-Code) schlugen dadurch fehl, sobald ein Kunde eine Lizenz aktivierte, die eine fuer denselben Fingerprint bereits aktive ersetzt -- de facto war jede Aktivierung auf einem bereits bekannten System blockiert. Fix: die betroffenen log_action_system()-Aufrufe in der Supersede- Schleife werden nur noch vorgemerkt (reine Lesezugriffe auf die offene Verbindung sind unproblematisch) und erst NACH conn.commit()/ conn.close() nachgeholt. Zusaetzlich get_db_connection() auf timeout=15 (statt Python-Default 5s) angehoben als generelle Verteidigungslinie gegen kurze, legitime Ueberschneidungen -- ersetzt nicht die eigentliche Regel (niemals eine zweite Verbindung waehrend einer noch offenen Schreibtransaktion committen), ist aber zusaetzliche Sicherheit. Alle anderen log_action()/log_action_system()-Aufrufstellen in dieser Session (customers(), ticket_new/-edit/-delete, license_delete, customer_portal, _issue_license_from_ticket, _revoke_license_row, _process_deactivate, _process_heartbeat) wurden systematisch geprueft -- committen bereits korrekt VOR dem Logging, betroffen war ausschliesslich diese eine Stelle. Verifiziert: direkter Reproduktionstest gegen eine echte Kopie der Live-Datenbank (POETESTs echte aktive Lizenz wird durch eine zweite ersetzt, exakt das gemeldete Szenario) -- vorher deadlock/Timeout, nachher 0.04s, korrekt superseded + Hostname + Audit-Log-Eintraege. Als Notfall-Hotfix bereits direkt auf dem Live-Master eingespielt (Dienst neu gestartet, seither keine weiteren 'database is locked'- Fehler); dieser Commit bringt Repo/Release auf denselben Stand, damit 'latest' nicht wieder auf die kaputte v1.2.0 zurueckfaellt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-23 16:33:16 +02:00
@@ -1 +1 @@
 .2.0
 .2.6