Version 2.4.1: die Wiederanmeldung kommt aus dem Rechtemodell

apps/tesm/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm"
-version = "2.3.3"
+version = "2.4.1"
 description = "TESM -- Verwaltung und Ueberwachung von PoE-Endgeraeten und Aruba-Switchen"
 requires-python = ">=3.11"
 dependencies = [

apps/tesm/src/tesm/blueprints/backup.py

@@ -78,7 +78,7 @@ def overview():
 
 @bp.post("/export")
 @permission_required("backup.export")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def export():
     extension = core()
     conn = db()

apps/tesm/src/tesm/blueprints/credentials.py

@@ -6,7 +6,7 @@ from typing import Any
 
 from flask import Blueprint, abort, flash, redirect, render_template, request, url_for
 from tesm_core import audit
-from tesm_core.auth.models import current_user, permission_required, reauth_required
+from tesm_core.auth.models import current_user, permission_required
 from tesm_core.auth.service import client_ip
 from tesm_core.extension import core, db, transaction
 
@@ -111,7 +111,7 @@ def delete(credential_id: int):
 
 @bp.post("/<int:credential_id>/anzeigen")
 @permission_required("credentials.secrets")
-@reauth_required
+# Die frische Bestaetigung verlangt das Recht selbst (SENSITIVE_ACTIONS).
 def reveal(credential_id: int):
     """Zeigt ein gespeichertes Passwort im Klartext.
 

apps/tesm/src/tesm/blueprints/fileshare.py

@@ -86,7 +86,10 @@ def browse():
 
 
 @bp.get("/<token>/herunterladen")
-@permission_required("fileshare.view")
+# Herunterladen traegt Daten aus dem System heraus -- in der Rechtematrix ist
+# das "Exportieren", nicht "Ansehen". Eine Vorschau bleibt im Haus, eine
+# heruntergeladene Datei nicht.
+@permission_required("fileshare.export")
 def download(token: str):
     mount = _mount_or_404(token)
     relative = request.args.get("pfad") or ""
@@ -184,7 +187,7 @@ def upload(token: str):
 
 
 @bp.post("/<token>/formular")
-@permission_required("fileshare.create")
+@permission_required("fileshare_pdf.create")
 def save_form(token: str):
     """Nimmt ein in der Vorschau ausgefuelltes PDF und legt es daneben ab.
 
@@ -207,6 +210,17 @@ def save_form(token: str):
         # waere ein Umweg, um beliebige Dateien in die Freigabe zu bekommen.
         return {"error": "Das ist keine PDF-Datei."}, 415
 
+    # Geprueft wird die **Datei**, nicht ein mitgeschicktes Auswahlfeld: wer nur
+    # anlegen darf, legt endgueltige Fassungen ab. Traegt die Datei noch
+    # Formularfelder, ist sie weiter veraenderbar -- dafuer braucht es
+    # "PDF-Formulare: Bearbeiten". Ein umgebogenes Feld im Browser hilft damit
+    # niemandem weiter.
+    if service.hat_formularfelder(daten) and not current_user.has("fileshare_pdf.edit"):
+        return {
+            "error": "Sie duerfen ausgefuellte Formulare nur abgeschlossen speichern "
+            "(Felder gesperrt). Bitte im Auswahlfeld 'Abgeschlossen' waehlen."
+        }, 403
+
     # Wohin und unter welchem Namen -- beides darf der Benutzer bestimmen.
     ordner = (request.form.get("ordner") or "").strip().strip("/")
     wunschname = (request.form.get("name") or "").strip()

apps/tesm/src/tesm/permissions.py

@@ -85,11 +85,36 @@ DHCP = Resource(
 FILESHARE = Resource(
     key="fileshare",
     label="Dateifreigaben",
-    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE),
+    actions=(A.VIEW, A.CREATE, A.EDIT, A.DELETE, A.EXPORT),
     hint="SMB-Freigaben aus dem Verzeichnisdienst (lizenzpflichtiges Modul)",
     action_hints={
         A.CREATE: "Ordner anlegen und Dateien hochladen.",
         A.EDIT: "Umbenennen und verschieben.",
+        # Genau die Bedeutung aus der Legende: Daten aus dem System
+        # heraustragen. Ansehen und Mitnehmen sind zweierlei -- eine Vorschau
+        # bleibt im Haus, eine heruntergeladene Datei nicht.
+        A.EXPORT: "Dateien herunterladen.",
+    },
+    # Exporte verlangen sonst eine frische Passwortbestaetigung. Hier nicht:
+    # Herunterladen ist in einer Dateifreigabe der Alltag, nicht der
+    # Sonderfall. Alle 15 Minuten ein Passwort waere Schikane -- und wuerde
+    # nur dazu fuehren, dass jemand das Recht pauschal vergibt oder ganz
+    # weglaesst. Die Grenze zieht hier das Recht selbst, nicht die Abfrage.
+    ohne_wiederanmeldung=(A.EXPORT,),
+)
+
+#: Eigene Zeile statt Anhaengsel von "Dateifreigaben": ein Formular auszufuellen
+#: ist ein anderer Vorgang als eine Datei hochzuladen, und wer umbenennen darf,
+#: soll deshalb nicht automatisch veraenderbare Formulare ablegen duerfen.
+FILESHARE_PDF = Resource(
+    key="fileshare_pdf",
+    label="PDF-Formulare",
+    actions=(A.VIEW, A.CREATE, A.EDIT),
+    hint="Formulare in der Vorschau ausfuellen und in der Freigabe ablegen",
+    action_hints={
+        A.VIEW: "In der Vorschau ausfuellen (ohne Speichern).",
+        A.CREATE: "Ausgefuellt speichern -- abgeschlossen, Felder gesperrt.",
+        A.EDIT: "Ausgefuellt speichern -- weiter ausfuellbar, inklusive Bild.",
     },
 )
 
@@ -119,7 +144,7 @@ FILES_AREA = Area(
     key="files",
     label="Dateifreigaben",
     icon="folder",
-    resources=(FILESHARE,),
+    resources=(FILESHARE, FILESHARE_PDF),
 )
 
 PERMISSIONS = PermissionTree(

apps/tesm/src/tesm/schema.py

@@ -250,8 +250,32 @@ CREATE INDEX IF NOT EXISTS idx_restart_events_method ON restart_events(method, t
 """
 
 
+# Neue Rechte sind nach einem Update bei niemandem gesetzt -- ohne diesen
+# Schritt koennte niemand mehr herunterladen oder ein Formular speichern,
+# obwohl sich an den Gruppen nichts geaendert hat. Die Zuordnung bildet ab, was
+# vorher galt.
+V4 = """
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare.export' FROM group_permissions
+     WHERE permission = 'fileshare.view';
+
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare_pdf.view' FROM group_permissions
+     WHERE permission = 'fileshare.view';
+
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare_pdf.create' FROM group_permissions
+     WHERE permission = 'fileshare.create';
+
+INSERT OR IGNORE INTO group_permissions (group_id, permission)
+    SELECT group_id, 'fileshare_pdf.edit' FROM group_permissions
+     WHERE permission = 'fileshare.edit';
+"""
+
+
 TESM_MIGRATIONS: tuple[Migration, ...] = (
     Migration(version=1, name="baseline", sql=V1),
     Migration(version=2, name="seed-dhcp-options", fn=seed_dhcp_options),
     Migration(version=3, name="restart-events", sql=V3),
+    Migration(version=4, name="fileshare-pdf-rechte", sql=V4),
 )

apps/tesm/src/tesm/services/fileshare.py

@@ -21,6 +21,7 @@ Sicherheitsrelevante Aenderungen gegenueber dem Vorgaenger:
 
 from __future__ import annotations
 
+import zlib
 import logging
 import mimetypes
 import os
@@ -622,6 +623,29 @@ def all_directories(mount: Mount, *, tiefe: int = 4, grenze: int = 400) -> list[
     return gefunden
 
 
+def hat_formularfelder(daten: bytes) -> bool:
+    """Steckt in diesen PDF-Bytes noch ein ausfuellbares Formular?
+
+    Gesucht wird nach Formularfeldern (``/Subtype /Widget``) -- auch in
+    gepackten Objektstroemen, denn moderne Schreiber legen fast alles dort ab.
+    Ein flach gerechnetes Formular hat keine mehr.
+
+    Bewusst ohne Zusatzpaket: die Frage ist einfach genug, und eine
+    PDF-Bibliothek auf jedem Zielsystem waere ein hoher Preis dafuer.
+    """
+    text = bytearray(daten)
+    for treffer in re.finditer(rb"stream\r?\n", daten):
+        start = treffer.end()
+        ende = daten.find(b"endstream", start)
+        if ende == -1:
+            continue
+        try:
+            text += b"\n" + zlib.decompress(daten[start:ende])
+        except zlib.error:
+            continue  # kein zlib-Strom -- Bilder, Schriften, alles moegliche
+    return re.search(rb"/Subtype\s*/Widget", bytes(text)) is not None
+
+
 def free_name(parent: Path, stem: str, zusatz: str, suffix: str) -> Path:
     """Ein freier Name neben dem Original: ``vorlage-ausgefuellt.pdf``.
 

apps/tesm/src/tesm/templates/tesm/fileshare.html

@@ -106,14 +106,22 @@
                               data-fill-Kind="{{ entry.preview_kind }}"
                               data-fill-Pfad="{{ entry.relative }}"
                               data-fill-Name="{{ entry.name }}"
-                              data-fill-Download="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}">
+                              {% if current_user.has('fileshare.export') %}data-fill-Download="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}"{% endif %}>
                         {{ icon('file-text', size=15) }} {{ entry.name }}
                       </button>
                     {% else %}
+                      {% if current_user.has('fileshare.export') %}
                         <a class="link-icon"
                            href="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}">
                           {{ icon('file-text', size=15) }} {{ entry.name }}
                         </a>
+                      {% else %}
+                        {# Ohne Exportrecht bleibt der Name Text: es gibt hier
+                           nichts zu holen, und ein toter Link waere Spott. #}
+                        <span class="link-icon faint">
+                          {{ icon('file-text', size=15) }} {{ entry.name }}
+                        </span>
+                      {% endif %}
                     {% endif %}
                   </td>
                   <td class="numeric fs-sm">{{ entry.size | bytes }}</td>
@@ -126,7 +134,7 @@
                               data-fill-Kind="{{ entry.preview_kind }}"
                               data-fill-Pfad="{{ entry.relative }}"
                               data-fill-Name="{{ entry.name }}"
-                              data-fill-Download="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}"
+                              {% if current_user.has('fileshare.export') %}data-fill-Download="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}"{% endif %}
                               aria-label="Vorschau">{{ icon('eye', size=15) }}</button>
                     {% endif %}
                     {% if current_user.has('fileshare.edit') %}
@@ -137,9 +145,11 @@
                               data-fill-Endung="{{ entry.suffix or '' }}"
                               aria-label="Umbenennen">{{ icon('pencil', size=15) }}</button>
                     {% endif %}
+                    {% if current_user.has('fileshare.export') %}
                       <a class="btn btn--sm btn--ghost"
                          href="{{ url_for('fileshare.download', token=token, pfad=entry.relative) }}"
                          aria-label="Herunterladen">{{ icon('download', size=15) }}</a>
+                    {% endif %}
                   </td>
                 </tr>
               {% endfor %}
@@ -210,6 +220,9 @@
        iPad in Originalgrösse (also einen Ausschnitt) und ein PDF auf iPadOS
        nur als Standbild -- Formularfelder liessen sich nicht anfassen. #}
     <div class="modal__body modal__body--flush" data-viewer
+         {# Ohne das Recht zum Ausfuellen zeigt die Vorschau das Dokument so,
+            wie es ist -- mit seinen eigenen Marken, ohne Eingabefelder. #}
+         data-viewer-formulare="{{ '1' if current_user.has('fileshare_pdf.view') else '' }}"
          data-viewer-pdfjs="{{ asset_url('vendor/pdfjs/pdf.min.js') }}"
          data-viewer-pdflib="{{ asset_url('vendor/pdflib/pdf-lib.min.js') }}">
       <div class="viewer">
@@ -227,7 +240,9 @@
         <iframe class="file-preview" title="Vorschau" data-viewer-rahmen
                 src="about:blank" referrerpolicy="same-origin" hidden></iframe>
         {# Gefragt wird erst, wenn gespeichert werden soll -- vorher waere es
-           eine Zeile Formular ueber jeder Bildvorschau. #}
+           eine Zeile Formular über jeder Bildvorschau. Und nur, wer Formulare
+           ablegen darf, sieht sie überhaupt. #}
+        {% if current_user.has('fileshare_pdf.create') %}
         <div class="viewer__save" data-viewer-speichernzeile hidden>
           <label class="viewer__feld">
             <span class="field__label">Ordner</span>
@@ -243,8 +258,13 @@
             {# Zwei Wege, beide gewollt: weiter ausfüllbar (das Bild wird das
                Aussehen des Knopfes und lässt sich später austauschen) oder
                abgeschlossen (alle Felder werden Teil der Seite). #}
+            {# Nur, was das Recht hergibt: "weiter ausfüllbar" hängt an
+               PDF-Formulare/Bearbeiten, "abgeschlossen" an Anlegen. Wer nur
+               anlegen darf, sieht eine Zeile statt einer Auswahl. #}
             <select class="select" data-viewer-modus>
+              {% if current_user.has('fileshare_pdf.edit') %}
                 <option value="formular">Formular – weiter ausfüllbar</option>
+              {% endif %}
               <option value="fertig">Abgeschlossen – Felder gesperrt</option>
             </select>
           </label>
@@ -255,6 +275,7 @@
           <button class="btn btn--sm btn--primary" type="button" data-viewer-jetzt>Speichern</button>
           <button class="btn btn--sm btn--ghost" type="button" data-viewer-abbrechen>Abbrechen</button>
         </div>
+        {% endif %}
         <div class="viewer__bar" data-viewer-leiste hidden>
           <button class="btn btn--sm btn--ghost" type="button" data-viewer-zoom="aus"
                   aria-label="Verkleinern">{{ icon('minus', size=15) }}</button>
@@ -266,10 +287,12 @@
       </div>
     </div>
     <div class="modal__footer">
+      {% if current_user.has('fileshare.export') %}
         <a class="btn btn--sm" data-fill-target="Download" data-fill-as="href" href="#" download>
           {{ icon('download', size=15) }} Herunterladen
         </a>
-      {% if current_user.has('fileshare.create') %}
+      {% endif %}
+      {% if current_user.has('fileshare_pdf.create') %}
         <button class="btn btn--sm" type="button" data-viewer-speichern hidden
                 data-url="{{ url_for('fileshare.save_form', token=token) }}">
           {{ icon('save', size=15) }} Ausgefüllt speichern

packages/tesm-core/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-core"
-version = "2.3.3"
+version = "2.4.1"
 description = "Gemeinsames Anwendungsgeruest (Auth, RBAC, Navigation, Design-System, Migrationen) fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = [

packages/tesm-core/src/tesm_core/app_factory.py

@@ -135,7 +135,7 @@ def create_base_app(
     #: Wortmarke, ohne Zeile darunter; die Marke selbst zeigen beide
     #: Anwendungen.
     auth_tagline: str = "",
-    app_version: str = "2.3.3",
+    app_version: str = "2.4.1",
     built_in_trusted_keys: tuple[str, ...] = (),
     enable_license: bool = True,
     template_folder: str | None = None,

packages/tesm-core/src/tesm_core/auth/models.py

@@ -220,6 +220,37 @@ def login_required(view: Callable[..., Any]) -> Callable[..., Any]:
     return wrapper
 
 
+def _verlangt_wiederanmeldung(permission: str) -> bool:
+    """Fragt das Rechtemodell -- ausserhalb einer Anwendung nie."""
+    try:
+        from ..extension import core
+
+        return bool(core().permissions.verlangt_wiederanmeldung(permission))
+    except Exception:  # noqa: BLE001 - ohne Modell keine zusaetzliche Huerde
+        return False
+
+
+def _wiederanmeldung_frisch() -> bool:
+    from .service import reauth_is_fresh  # zyklischen Import vermeiden
+
+    return reauth_is_fresh()
+
+
+def _bitte_bestaetigen(permission: str) -> Any:
+    """Zur Passwortbestaetigung schicken -- oder es einem Skript sagen.
+
+    Ein Aufruf per fetch bekaeme sonst die Anmeldeseite als Antwort und wuesste
+    nichts damit anzufangen.
+    """
+    if is_automatic(request) or (
+        request.accept_mimetypes.accept_json and not request.accept_mimetypes.accept_html
+    ):
+        abort(403, description="Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.")
+    session["_after_reauth"] = request.full_path if request.query_string else request.path
+    flash("Bitte bestaetigen Sie zur Sicherheit Ihr Passwort.", "info")
+    return redirect(url_for("auth.reauth"))
+
+
 def permission_required(*permissions: str, mode: str = "all") -> Callable[..., Any]:
     """Erzwingt Rechte serverseitig.
 
@@ -238,6 +269,14 @@ def permission_required(*permissions: str, mode: str = "all") -> Callable[..., A
             )
             if not ok:
                 return _deny("Fuer diese Seite fehlt Ihnen die Berechtigung.")
+            # Geheimnisse und Exporte verlangen eine frische Bestaetigung --
+            # das steht im Rechtemodell und wird deshalb hier abgefragt, nicht
+            # in jeder Route einzeln. Vorher hing es daran, dass jemand an den
+            # Dekorator dachte: dieselbe Lizenz herunterzuladen fragte nach,
+            # sie per Mail zu verschicken nicht.
+            heikel = [p for p in permissions if _verlangt_wiederanmeldung(p)]
+            if heikel and not _wiederanmeldung_frisch():
+                return _bitte_bestaetigen(heikel[0])
             return view(*args, **kwargs)
 
         wrapper._required_permissions = permissions  # type: ignore[attr-defined]

packages/tesm-core/src/tesm_core/rbac/model.py

@@ -74,6 +74,11 @@ class Resource:
     hint: str = ""
     #: Abweichende Erklaerung einzelner Aktionen (z. B. was "Ausfuehren" hier meint).
     action_hints: Mapping[Action, str] = field(default_factory=dict)
+    #: Aktionen, die hier **keine** frische Passwortbestaetigung verlangen,
+    #: obwohl sie in SENSITIVE_ACTIONS stehen. Bewusst hier und nicht als
+    #: stilles Weglassen in der Route: eine Ausnahme von einer
+    #: Sicherheitsregel gehoert dorthin, wo man sie sieht und begruenden muss.
+    ohne_wiederanmeldung: tuple[Action, ...] = ()
 
     def permission(self, action: Action) -> str:
         return f"{self.key}.{action.value}"
@@ -159,6 +164,25 @@ class PermissionTree:
     def resource(self, key: str) -> tuple[Area, Resource] | None:
         return self._resources.get(key)
 
+    def verlangt_wiederanmeldung(self, permission: str) -> bool:
+        """Braucht dieses Recht eine frische Passwortbestaetigung?
+
+        Die Antwort steht im Modell (``SENSITIVE_ACTIONS``) und nicht in der
+        Route -- sonst vergisst sie die naechste, die dazukommt.
+        """
+        resource_key, _, action_value = permission.rpartition(".")
+        entry = self._resources.get(resource_key)
+        if entry is None:
+            return False
+        _, resource = entry
+        try:
+            action = Action(action_value)
+        except ValueError:
+            return False
+        if action in resource.ohne_wiederanmeldung:
+            return False
+        return action in SENSITIVE_ACTIONS
+
     def label_for(self, permission: str) -> str:
         """Menschenlesbare Beschreibung eines Rechteschluessels -- fuer Audit-Logs."""
         if permission.endswith(".view") and permission[:-5] in self._by_key:

packages/tesm-core/src/tesm_core/static/tesm_core/js/viewer.js

@@ -319,8 +319,13 @@ async function pdfjsLaden(basis) {
   return pdfjsGeladen;
 }
 
-/** Zeigt ein PDF mit ausfuellbaren Formularfeldern. */
+/** Zeigt ein PDF -- mit ausfuellbaren Feldern, sofern das erlaubt ist.
-async function pdfBetrachter(behaelter, seiten, url, basis) {
+ *
+ * Ohne ``formulare`` bleibt es bei der Darstellung aus dem Dokument: pdf.js
+ * malt dann die Marken, die im PDF stehen (etwa rotes Kreuz und gruener
+ * Haken), statt Bedienelemente des Browsers einzusetzen.
+ */
+async function pdfBetrachter(behaelter, seiten, url, basis, { formulare = true } = {}) {
   const { lib, komponenten } = await pdfjsLaden(basis);
   const adressen = pdfjsAdressen(basis);
   const eventBus = new komponenten.EventBus();
@@ -330,8 +335,11 @@ async function pdfBetrachter(behaelter, seiten, url, basis) {
     viewer: seiten,
     eventBus,
     linkService,
-    // Der Kern der Sache: Formularfelder werden zu echten Eingabefeldern.
+    // Der Kern der Sache: Formularfelder werden zu echten Eingabefeldern --
-    annotationMode: lib.AnnotationMode.ENABLE_FORMS,
+    // wer nicht ausfuellen darf, bekommt die Darstellung aus dem Dokument.
+    annotationMode: formulare
+      ? lib.AnnotationMode.ENABLE_FORMS
+      : lib.AnnotationMode.ENABLE,
     textLayerMode: 1,
   });
   linkService.setViewer(viewer);
@@ -379,6 +387,7 @@ async function pdfBetrachter(behaelter, seiten, url, basis) {
   const bilder = new Map();
 
   const bildknoepfeAufsetzen = async (nurSeite) => {
+    if (!formulare) return;
     for (let nummer = 1; nummer <= dokument.numPages; nummer++) {
       if (nurSeite && nummer !== nurSeite) continue;
       const seite = await dokument.getPage(nummer);
@@ -562,7 +571,9 @@ export function initFilePreview(wurzel = document) {
     }
     if (hinweis) hinweis.textContent = "PDF wird geladen ...";
     try {
-      pdf = await pdfBetrachter(pdfScroll, pdfSeiten, quelle, basis);
+      pdf = await pdfBetrachter(pdfScroll, pdfSeiten, quelle, basis, {
+        formulare: rumpf.dataset.viewerFormulare === "1",
+      });
       if (hinweis) hinweis.textContent = "";
     } catch (fehler) {
       // Kein weisses Feld: sagen, was los ist, und auf die einfache Anzeige

packages/tesm-licensing/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "tesm-licensing"
-version = "2.3.3"
+version = "2.4.1"
 description = "Ed25519-basiertes Lizenz- und Aktivierungsprotokoll fuer TESM und TESM-Lizenzserver"
 requires-python = ">=3.11"
 dependencies = ["cryptography>=42"]