Sascha WolfandClaude Opus 5
419e57b55d
OpenID Connect mit Authorization Code Flow und PKCE, vollstaendig
serverseitig - der Browser sieht weder Tenant- noch Client-ID. Genutzt wird
dieselbe App-Registrierung wie die Postfachanbindung, also kein zweites
Secret; delegiert statt app-only.
Nach dem Token-Tausch beweist ein Aufruf von /me bei Graph, dass das
Zugriffstoken gilt, und liefert die Objekt-ID. Sie landet in der neuen Spalte
crm_users.entra_oid und ist danach die stabile Verknuepfung - die E-Mail-
Adresse eines Menschen kann sich aendern, die Objekt-ID nicht.
Bewusst so entschieden:
- Es werden keine Konten angelegt. Wer kein CRM-Konto mit derselben Adresse
hat, wird abgewiesen; Zugriff vergibt weiter die Nutzerverwaltung.
- Die Anmeldung mit Benutzername und Passwort bleibt fuer alle bestehen -
Notzugang, falls Entra oder das Secret ausfaellt.
- Das CRM-Token kommt als Einmal-Ticket zurueck, nicht in der Adresszeile:
die Rueckleitung ist ein GET und stuende sonst in Browserverlauf und
Apache-Log.
- Keine Signaturpruefung des ID-Tokens und damit keine JWKS-Bibliothek. Es
kommt ueber TLS direkt vom Token-Endpunkt (OIDC Core 3.1.3.7); geprueft
werden aud, tid, nonce und exp, und der Graph-Aufruf belegt den Rest.
Ohne MS_SSO_ENABLED=true bleibt alles aus und die Anmeldemaske sieht aus wie
bisher.
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
34 lines
1.2 KiB
JSON
34 lines
1.2 KiB
JSON
{
|
|
"name": "perinco-crm-backend",
|
|
"version": "0.1.0",
|
|
"private": true,
|
|
"description": "REST-Backend fuer perinco CRM (MariaDB perinco_CRM) inkl. portiertem Projekt Scanner",
|
|
"comments": {
|
|
"playwright": "Exakt 1.60.0 - dieselbe Version wie die laufende Scanner-App. Deren Chromium-Build (chromium-1223) liegt auf dem Server schon im Cache, ein Caret wuerde eine neuere Version und damit einen zweiten Browser-Download ziehen."
|
|
},
|
|
"main": "src/server.js",
|
|
"type": "module",
|
|
"scripts": {
|
|
"start": "node src/server.js",
|
|
"dev": "node --watch src/server.js",
|
|
"migrate": "node src/migrate.js",
|
|
"test": "node test/mail.test.mjs && node test/acquisition.test.mjs && node test/userFields.test.mjs && node test/linkedinPhoto.test.mjs && node test/sessionUser.test.mjs && node test/sso.test.mjs"
|
|
},
|
|
"dependencies": {
|
|
"bcryptjs": "^2.4.3",
|
|
"cors": "^2.8.5",
|
|
"crypto-js": "^4.2.0",
|
|
"dotenv": "^16.4.5",
|
|
"express": "^4.19.2",
|
|
"jsonwebtoken": "^9.0.2",
|
|
"multer": "^2.0.2",
|
|
"mysql2": "^3.11.5",
|
|
"node-cron": "^3.0.3",
|
|
"nodemailer": "^6.9.13",
|
|
"openai": "^4.47.1",
|
|
"pdf-parse": "^1.1.1",
|
|
"playwright": "1.60.0",
|
|
"sequelize": "^6.37.3"
|
|
}
|
|
}
|