Version 2.7.4: Unterschriften in der Sicherung, unterschrieben ist abgeschlossen

apps/tesm/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm"
-version = "2.7.3"
+version = "2.7.4"
 description = "TESM -- Verwaltung und Ueberwachung von PoE-Endgeraeten und Aruba-Switchen"
 requires-python = ">=3.11"
 dependencies = [

apps/tesm/src/tesm/blueprints/fileshare.py

@@ -272,6 +272,19 @@ def save_form(token: str):
     if upload_file is None or not upload_file.filename:
         return {"error": "Es kam keine Datei an."}, 400
 
+    # Ein unterschriebenes Dokument ist abgeschlossen. Es als Vorlage fuer eine
+    # neue Fassung zu benutzen hiesse, eine Unterschrift unter einen anderen
+    # Text zu stellen -- die Oberflaeche blendet das aus, hier wird es
+    # abgewiesen.
+    if service.signaturstand(db(), mount, relative).get("status") in {
+        "unveraendert",
+        "veraendert",
+    }:
+        return {
+            "error": "Dieses Dokument ist unterschrieben und damit abgeschlossen. "
+            "Legen Sie eine neue Fassung aus der ursprünglichen Vorlage an."
+        }, 409
+
     grenze = uploads.limit_bytes(db())
     daten = upload_file.stream.read(grenze + 1)
     if len(daten) > grenze:
@@ -343,10 +356,13 @@ def save_form(token: str):
     # da: der Name **in** der Unterschrift ist eine Angabe des
     # Unterschreibenden -- wie auf Papier. Wer die Datei abgelegt hat, steht
     # ohnehin als Handelnder in der Zeile und ist belegt.
-    beschreibung = f"{ziel_mount.label}:{wohin} sha256={pruefsumme}"
+    # Zwei Zeilen: oben, was ein Mensch liest; unten die Pruefsumme, die
+    # niemand liest, aber jeder vergleichen koennen muss. In einer einzigen
+    # Zeile drueckte der Hash den Rest aus der Spalte.
+    kopf = f"{'Signiert' if unterschriften else 'Gespeichert'}: {wohin} ({ziel_mount.label})"
     if unterschriften:
-        namen = ", ".join(unterschriften)
-        beschreibung = f"{beschreibung} -- angegeben unterschrieben von: {namen}"
+        kopf += f" – angegeben von: {', '.join(unterschriften)}"
+    beschreibung = f"{kopf}{chr(10)}sha256={pruefsumme}"
     _audit(
         "fileshare.form_signed" if unterschriften else "fileshare.form_saved",
         f"{mount.label}:{relative}",

apps/tesm/src/tesm/services/fileshare.py

@@ -696,7 +696,10 @@ def signaturdetail_lesen(detail: str) -> dict[str, Any]:
     von: <Namen>``. Gelesen wird sie an zwei Stellen -- beim Uebernehmen
     alter Eintraege und wenn das Verzeichnis nichts weiss.
     """
-    ort, _, rest = detail.partition(" sha256=")
+    # Der Trenner ist heute ein Zeilenumbruch, frueher ein Leerzeichen -- die
+    # Zerlegung muss beides vertragen, sonst sind alte Eintraege stumm.
+    ort, _, rest = detail.partition("sha256=")
+    ort = ort.strip()
     label, _, pfad = ort.partition(":")
     summe = rest.split(" ", 1)[0].strip() if rest else ""
     return {

apps/tesm/src/tesm/services/transfer.py

@@ -64,6 +64,13 @@ CATEGORIES: tuple[Category, ...] = (
     Category("users", "Benutzer", "Lokale Konten mit Passwort-Hash", admin_only=True),
     Category("groups", "Gruppen und Rechte", "Rechtematrix", admin_only=True),
     Category("settings", "Einstellungen", "Laufzeiteinstellungen der Anwendung", admin_only=True),
+    Category(
+        "signatures",
+        "Unterschriften",
+        "Pruefsummen unterschriebener Dokumente. Ohne sie sagt die Vorschau nach einer "
+        "Wiederherstellung zu jeder alten Fassung \"unbekannt\" – auch zu einer "
+        "veraenderten.",
+    ),
 )
 
 CATEGORY_BY_KEY = {category.key: category for category in CATEGORIES}
@@ -186,6 +193,16 @@ def build_export(
             # Sicherung -- sonst wuerde ein Restore eine fremde Aktivierung erben.
             if not str(row["key"]).startswith("license_")
         }
+    if "signatures" in wanted:
+        # Das Verzeichnis der Unterschriften. Der Beleg selbst bleibt das
+        # Aenderungsprotokoll (Hash-Kette) und das Journal neben dem Archiv --
+        # beides wandert nicht in die Sicherung. Ohne diese Zeilen waere nach
+        # einer Wiederherstellung jede unterschriebene Fassung "unbekannt".
+        payload["signatures"] = Database.all(
+            conn,
+            "SELECT sha256, share_label, path, signed_at, actor, names "
+            "FROM document_signatures ORDER BY id",
+        )
     return payload
 
 
@@ -625,6 +642,38 @@ def apply_import(
                             (user_id, int(group_id)),
                         )
 
+    if "signatures" in wanted:
+        for eintrag in payload.get("signatures") or []:
+            if not isinstance(eintrag, dict):
+                continue
+            summe = str(eintrag.get("sha256") or "").strip()
+            pfad = str(eintrag.get("path") or "").strip()
+            if not summe:
+                continue
+            # Zweimal einlesen darf nichts verdoppeln: verglichen wird ueber
+            # Pruefsumme und Ablageort, genau wie beim Journal.
+            vorhanden = Database.value(
+                conn,
+                "SELECT 1 FROM document_signatures WHERE sha256=? AND path=? LIMIT 1",
+                (summe, pfad),
+            )
+            if vorhanden:
+                bump("signatures", "skipped")
+                continue
+            conn.execute(
+                "INSERT INTO document_signatures (sha256, share_label, path, signed_at, "
+                "actor, names, audit_id) VALUES (?,?,?,?,?,?,NULL)",
+                (
+                    summe,
+                    str(eintrag.get("share_label") or ""),
+                    pfad,
+                    str(eintrag.get("signed_at") or stamp),
+                    str(eintrag.get("actor") or ""),
+                    str(eintrag.get("names") or ""),
+                ),
+            )
+            bump("signatures", "created")
+
     if "settings" in wanted:
         for key, value in (payload.get("settings") or {}).items():
             if str(key).startswith("license_"):