2 Commits

Include renames

Author	SHA1	Message	Date
HitonabiandClaude Opus 5.5	29ec6f2ccf	aufraeumen: shadcn nur noch zum Bauen, tote Exporte und Test-Attrappen raus, Lint-Regeln scharf ... - shadcn liefert zur Laufzeit nichts: gebraucht wird nur shadcn/tailwind.css beim Bauen (am PC und im CI, beide mit npm ci inkl. devDependencies). Also devDependency; 325 Pakete im Lockfile haengen ausschliesslich daran und sind jetzt "dev". - @testing-library/user-event war nirgends benutzt: entfernt. - Dialog/Sheet: ungenutzte Trigger/Close/Footer und "use client" raus. - test/setup.ts: ResizeObserver-Attrappe fuer Recharts und Kraftgraph entfernt - beide gibt es nicht mehr, und Radix' Dialog misst nichts. - eslint.config.js: Die vier React-Compiler-Regeln sollten laut Kommentar auf "error", sobald ihr Zaehler 0 ist. Er ist 0 - jetzt error. Veraltete Zahlen und "Recharts" im Kommentar korrigiert. - lib/utils.ts bleibt (Ziel von components.json fuer die shadcn-CLI), jetzt mit Kommentar. - Lockfile: npm 11.17 traegt sechs optionale wasm32-Unterpakete zusaetzlich ein, auch ohne diese Aenderung; die sind wieder raus, damit der Diff nur das Gewollte zeigt. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-09-24 15:42:13 +02:00
HitonabiandClaude Opus 5	ae69c5ce31	fix(security): v3-Umbau P1 — Geheimnisse raus aus dem Browser, Frontend endlich getestet ... Zweite Etappe. Kern: das Frontend traegt kein Geheimnis mehr, und es laeuft nicht laenger als einziger Teil des Stacks ungeprueft durchs Gate. ## B-01 — Box-Sudo-Passwort: ersatzlos entfernt Das Passwort lag im localStorage und reiste bei JEDEM mutierenden Request mit — als Header `X-Sudo-Password` UND im JSON-Rumpf. Da /etc/sudoers den Dienst-Nutzer mit `NOPASSWD: ALL` fuehrt, waere ein einziger XSS in der SPA Root auf der Box gewesen. AUF DER BOX GEMESSEN: `sudo -n true` laeuft durch. Das Passwort wurde also nie gebraucht — es war reines Risiko ohne Gegenwert. Darum keine Umkonstruktion (Sitzungs-Cookie o. AE.), sondern Loeschung, quer durch den ganzen Pfad: frontend/src/lib/api.ts kein localStorage-Zugriff mehr frontend/.../SettingsTab.tsx Eingabefeld weg, dafuer die Erklaerung warum backend/routers/maintenance.py SudoReq entfaellt, 8 Endpunkte entschlackt backend/services/maintenance.py _run() nutzt immer `sudo -n` backend/services/jobengine.py keine stdin-Pipe mehr (DEVNULL) `password_required` bleibt als ehrliches Signal: Verlangt sudo je doch ein Passwort, ist das eine Konfigurations-Frage auf der Box — nichts, was man mit einem im Browser geparkten Geheimnis uebertuencht. ## HuggingFace-Token: liegt jetzt auf der Box Derselbe Fehler, kleinerer Radius. Neu: backend/services/geheimnisse.py — Datei neben den anderen mc2-*.json, Rechte 0600, atomar geschrieben. Die Oberflaeche erfaehrt nur, OB ein Token gesetzt ist, nie seinen Wert. Ein Schluessel-Allowlist verhindert, dass ein fehlgeleiteter Request beliebige Felder hineinschreibt. Prozess-Env (HF_TOKEN) hat Vorrang und wird als solche angezeigt. Verifiziert gegen das lokale Backend: setzen/lesen/loeschen ok, unerlaubter Schluessel wird mit Klartext-Grund abgewiesen, der Wert kommt nie zurueck. ## B-14 — Fehlermeldungen sagen jetzt, was los ist api() warf `new Error("500 Internal Server Error")` und verwarf den Rumpf; der eigentliche Grund aus FastAPIs `detail` erreichte die Oberflaeche nie. Neu: ApiError mit status + detail, inklusive Validierungslisten und HTML-Fehlerseiten (ein kaputter Rumpf darf die Meldung nicht in einen zweiten Fehler verwandeln). Zwei Aufrufstellen zeigen den Grund jetzt statt "Fehler" (Discover, ModelBrowse). ## B-07 — Tests und Linter, ehrlich eingeordnet Praezisierung gegenueber dem Audit: Die MC2-Ampel fuehrt bewusst GAR KEINE Tests aus (dokumentiert: die Python-Dienste haengen an ML-Wheels, die echten Tests sind Pruefstand + Box). Das ist fuer die Dienste richtig — fuer Frontend-Unit-Tests nicht: die laufen in jsdom, brauchen weder Modell noch GPU, und sind in 1,3 s durch. Vitest + Testing Library, 17 Tests in 3 Dateien ESLint (flat config) + Prettier Beides jetzt Teil der Ampel Die Tests sind kein Feigenblatt: acht davon sind der Zaun um B-01 — sie beweisen, dass api() weder Kopfzeilen noch Rumpf aus dem localStorage anreichert. Dazu eine ESLint-Regel, die localStorage-Zugriffe auf Schluessel mit password/token/secret im Namen hart abweist (an einer Probe verifiziert; harmlose Schluessel wie mc_sidebar_collapsed bleiben erlaubt). ESLint meldet 0 Fehler / 93 Warnungen. Die 18 Treffer der neuen React-Compiler- Regeln (setState im Effekt, Ref-Zugriff im Render) sind ECHT, aber quer durch 10 500 Zeilen zu beheben ist P5-Arbeit. Sie stehen als sichtbare Warn-Liste statt abgeschaltet — ein ab Tag eins rotes Gate ist kein Gate mehr. ## Nebenbefund, im Browser reproduziert: veraltetes Buendel nach Deploy Ein Deploy ersetzt dist und startet den Dienst neu; offene Tabs behalten aber ihr altes Start-Buendel, dessen Nachlade-Chunks nun fehlen — der naechste Ansichtswechsel wirft. Galt schon fuer die 10 lazy Views, traf durch P0 nun auch die Startseite. lib/veralteteVersion.ts faengt Vites `vite:preloadError` ab und laedt EINMAL neu (Sperre in sessionStorage gegen Endlosschleife). ## Nachgemessen Start-Chunk gzip 111 411 B · dist gesamt 1 480 097 B (beide im Ampel-Budget) tsc --noEmit sauber · 17/17 Tests gruen · ESLint 0 Fehler Im echten Browser gegen das lokale Backend geprueft: Einstellungen holen den Token-Zustand von der Box, kein Passwort-Feld mehr, Knoepfe korrekt gesperrt, beide Cockpit-Diagramme rendern (Achsen + Zeitachse sichtbar). Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-28 08:44:48 +02:00