From 359ad666c429d0ee0418bc0bc369e3193bf49be4 Mon Sep 17 00:00:00 2001 From: Christoph Emsenhuber Date: Tue, 6 Oct 2026 08:27:17 +0200 Subject: [PATCH] TP49 abgenommen: fremder GitHub-Account wird abgewiesen MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Verhaltensabnahme durch echten Login (nicht nur API-Read): Christophs zweiter GitHub-Account wird abgewiesen, eigener Zugang und Geli funktionieren, uebrige Auth-Wege wie erwartet. email AND github trennt eigenes von fremdem Konto, ohne jemanden auszusperren. Der Fix war bis dahin nur gesetzt und zurueckgelesen — die API sagt nichts darueber, ob die Regel greift. Mit diesem Test ist sie verhaltensbestaetigt. TP49 geschlossen, Gitea #76 closed / status:done, kein offener Punkt. Der Umweg (Fehlschluss -> Schliessung -> Wiedereroeffnung -> Fix -> Abnahme) bleibt als Aktenhistorie in allen drei Dateien stehen. Co-Authored-By: Claude Opus 5 --- docs/teilprojekte.md | 17 +++++++++++++++-- docs/tp49-cf-access-startauftrag.md | 5 ++++- 2 files changed, 19 insertions(+), 3 deletions(-) diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md index 4951941..50ad227 100644 --- a/docs/teilprojekte.md +++ b/docs/teilprojekte.md @@ -2667,5 +2667,18 @@ Details in Memory `feedback_no_guessing`. ⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Änderung erfolgte mit Christophs ausdrücklicher Freigabe, das Nachbar-Repo wurde **nicht** angefasst. -**→ Abgeschlossen 2026-10-06: Fix gesetzt und zurückgelesen. Offen bleibt nur der -Bestätigungstest, dass ein fremder GitHub-Account jetzt abgewiesen wird.** +#### Abnahme (2026-10-06, durch echten Login — nicht nur API-Read) + +Christoph hat nach dem Fix **alle Auth-Pfade neu getestet**: + +- ✅ **Fremder GitHub-Account (2. Konto) → wird abgewiesen.** Der Fix greift real, nicht nur in der API. +- ✅ **Eigener Zugang (GitHub, primäre Adresse `christoph@emsenhuber.com`) → funktioniert.** +- ✅ **Geli → funktioniert** (unverändert über Einmalcode/IP; ihr `require` blieb leer). +- ✅ **Alle übrigen Auth-Wege verhalten sich wie erwartet.** + +Damit ist `email AND github` **verhaltensbestätigt**: es trennt das eigene Konto vom fremden, +ohne jemanden auszusperren. Kein Regress an den Nachbar-Policies (`geli`, `terpene-svc`) und +kein Kollateral am internen Wildcard. + +**→ Abgeschlossen 2026-10-06: Fix gesetzt, zurückgelesen und per Login verifiziert. +Gitea #76 `closed` / `status:done`.** diff --git a/docs/tp49-cf-access-startauftrag.md b/docs/tp49-cf-access-startauftrag.md index 2e61e4a..cbd9f70 100644 --- a/docs/tp49-cf-access-startauftrag.md +++ b/docs/tp49-cf-access-startauftrag.md @@ -72,4 +72,7 @@ Ursprungsfund bestätigt und der Fix nötig. - [x] Policy über beide Endpunkte zurückgelesen — `require` trägt github, `include` nicht mehr - [x] Sweep: keine weiteren `login_method` in `include` außer den bekannten - [x] Scope: reusable Policy nur an diese eine App gebunden (kein Kollateral) -- [ ] **Offen:** Bestätigungstest, dass ein fremder GitHub-Account jetzt **abgewiesen** wird +- [x] **Verhaltensabnahme (2026-10-06, echter Login):** fremder GitHub-Account → **abgewiesen**; + eigener Zugang + Geli → funktionieren; alle übrigen Auth-Pfade wie erwartet + +**Status: abgeschlossen.** Gitea #76 `closed` / `status:done`. Kein offener Punkt.