knso/Webklar-Kundenbereich
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Kundenansicht: Terminplaner-POSTs nur noch ueber eine explizite Liste

Browse Source 
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
This commit is contained in:
ClaudeandClaude Sonnet 5.5 committed 2026-10-04 08:34:29 +00:00
1 parent a72380cc8b
commit 8c1055e8a0
2 files changed
+58 -4
Download Patch File Download Diff File Expand all files Collapse all files

No files matched your search

server/middleware/kundenansichtGuard.js
+7 -2
View File
@@ -15,8 +15,13 @@ export const KUNDENANSICHT_ALLOWED = [
['PATCH', /^\/api\/news\/[^/]+\/?$/],
['DELETE', /^\/api\/news\/[^/]+\/?$/],
['POST', /^\/api\/funktionen\/analyse\/heatmap-link\/?$/],
// Terminplaner: Einstellungen und Termine kosten nichts und sind keine Erklaerungen im Namen des Kunden (Spec 2026-10-02, Abschnitt 9)
['POST', /^\/api\/termine\/.+$/],
// Terminplaner: Einstellungen und Termine kosten nichts und sind keine Erklaerungen im Namen des Kunden (Spec 2026-10-02,
// Abschnitt 9). Genau diese sechs Pfade, jeder einzeln (keine Wildcard, Spec 2026-10-03): alles andere unter /api/termine,
// auch der Fragebogen (PUT /fragebogen, Bestellung), ist in der Kundenansicht gesperrt, ohne dass es einen Eintrag braucht.
['POST', /^\/api\/termine\/einstellungen\/vorlage\/?$/],
['POST', /^\/api\/termine\/ressourcen\/[^/]+\/feed\/?$/],
['POST', /^\/api\/termine\/buchungen\/?$/],
['POST', /^\/api\/termine\/buchungen\/[^/]+\/aktion\/?$/],
['PATCH', /^\/api\/termine\/einstellungen\/?$/],
['DELETE', /^\/api\/termine\/buchungen\/[^/]+\/?$/],
['POST', /^\/api\/auth\/kundenansicht\/ende\/?$/],