ClaudeandClaude Opus 5.5
2659385205
Kunden haben Konten im selben Appwrite-Projekt wie das Ticketsystem. Bisher galt als Mitarbeiter, wer einen employees-Eintrag hatte - den legte das Ticketsystem beim Login jedes Kontos automatisch an, und jedes angemeldete Konto konnte ihn auch selbst anlegen. Damit kam ein Kunde ueber /api/team an Chats, Kundenansicht, Angebote und Finanzen. - staffLabels.js: Mitarbeiter = Label "mitarbeiter" oder "admin" (setzt nur der Server-Key) - Team-Eingang (requireStaffJwt) und Portal-Login-Sperre nur noch per Label; kein Abgleich ueber employees-Eintrag oder Mail mehr - Portal-Login: Konto-Abruf gestoert -> 503 fuer alle (fail closed) - Mitarbeiter anlegen/bearbeiten setzt das Label "mitarbeiter" - scripts/mitarbeiter-zugang.mjs: --status (markiert employees-Eintraege von Kunden), --label, --eintrag-loeschen (nur Eintrag, nie das Konto), --rechte (Probelauf, --anwenden mit Sicherung, --zurueck): any/guests/users -> label:mitarbeiter + label:admin in Collections, Buckets und bei Dokument-/ Datei-Sicherheit auch einzelnen Dokumenten und Dateien Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
56 lines
2.3 KiB
JavaScript
56 lines
2.3 KiB
JavaScript
import { config } from '../config.js'
|
|
import { getEmployeeByUserId } from '../services/appwriteAdmin.js'
|
|
import { isAdminAccount, isStaffAccount } from '../services/staffLabels.js'
|
|
|
|
/**
|
|
* Appwrite-Konto zum Bearer-JWT aus dem Ticketsystem (GET /account). null ohne Header oder wenn Appwrite
|
|
* ablehnt - auch bei einer Sitzung ohne zweiten Faktor (401 user_more_factors_required).
|
|
*/
|
|
export async function appwriteAccountFromJwt(req) {
|
|
const match = (req.get('Authorization') || '').match(/^Bearer\s+(.+)$/i)
|
|
if (!match) return null
|
|
const response = await fetch(`${config.appwrite.endpoint}/account`, {
|
|
headers: {
|
|
'Content-Type': 'application/json',
|
|
'X-Appwrite-Project': config.appwrite.projectId,
|
|
'X-Appwrite-JWT': match[1],
|
|
},
|
|
})
|
|
if (!response.ok) return null
|
|
return response.json()
|
|
}
|
|
|
|
/**
|
|
* Mitarbeiter fuer den Team-Eingang: nur ein Konto mit Label "mitarbeiter" oder "admin" (staffLabels.js). Der
|
|
* employees-Eintrag liefert nur noch den Anzeigenamen - Kunden haben Konten im selben Appwrite-Projekt und
|
|
* konnten sich einen solchen Eintrag selbst anlegen.
|
|
*/
|
|
export async function resolveTeamStaff(account) {
|
|
if (!account?.$id || !isStaffAccount(account)) return null
|
|
const employee = await getEmployeeByUserId(account.$id).catch(() => null)
|
|
return {
|
|
isAdmin: isAdminAccount(account),
|
|
name: employee?.displayName || account.name || 'Mitarbeiter',
|
|
email: account.email || employee?.email || '',
|
|
}
|
|
}
|
|
|
|
/**
|
|
* Team-Eingang (/api/team): jeder Mitarbeiter mit gueltiger Ticketsystem-Anmeldung. req.session hat dieselbe Form
|
|
* wie die Admin-Sitzung des Portals, damit die bestehenden Handler unveraendert laufen.
|
|
*/
|
|
export async function requireStaffJwt(req, res, next) {
|
|
try {
|
|
const account = await appwriteAccountFromJwt(req)
|
|
if (!account?.$id) return res.status(401).json({ error: 'Bitte im Ticketsystem neu anmelden.' })
|
|
const staff = await resolveTeamStaff(account)
|
|
if (!staff) return res.status(403).json({ error: 'Kein Mitarbeiterkonto.' })
|
|
const session = { role: 'admin', isAdmin: staff.isAdmin, appwriteUserId: account.$id, name: staff.name, email: staff.email }
|
|
req.session = session
|
|
req.staff = session
|
|
return next()
|
|
} catch (err) {
|
|
return res.status(500).json({ error: err.message || 'Anmeldung konnte nicht geprüft werden' })
|
|
}
|
|
}
|