Phase 3: Anmeldung, Rate-Limits und Sicherheits-Header

Lesen darf jeder, schreiben nur der Betreiber - mit der bewussten Ausnahme
des Reservierens. Dazu Dockerfile und Compose-Datei, damit sich das lokal
ausprobieren lässt.

Beim Bauen sind zwei Fehler aufgefallen, die ohne Test nicht aufgefallen
wären:

1. slowapi zählt pro URL-Pfad. Weil jedes Kleidungsstück eine eigene URL
   hat, bekam jedes seinen eigenen Zähler - ein Skript hätte also den
   gesamten Bestand reservieren können, ohne je an ein Limit zu stossen.
   Genau der Missbrauch, gegen den das Limit gedacht ist. Behoben mit
   shared_limit und festem scope.
2. Der erste Anlauf des Tests machte fünf Anfragen gegen ein Limit von
   fünf und konnte damit gar nichts zeigen. Geprüft wird jetzt der
   tatsächlich ausgelieferte Standardwert, mit mehr Anfragen als erlaubt.

Weiter umgesetzt:

- Passwort als bcrypt-Hash aus der Umgebung, einmal beim Start gebildet
  und gemerkt. Bei jeder Anfrage neu gehasht liesse sich die Anwendung
  sonst ohne Anmeldung lahmlegen - bcrypt ist absichtlich langsam.
- Ohne hinterlegtes Passwort bleibt der Erfassungsbereich gesperrt (503)
  statt offen zu stehen. Kein mitgeliefertes Standardpasswort.
- Sitzung als signiertes Cookie, HttpOnly, SameSite=Lax (blockt
  seitenfremde POSTs), Secure abschaltbar nur fürs lokale Testen,
  Abmeldung nach zwei Stunden Ruhe.
- CSP mit script-src 'self', nosniff, frame-ancestors none, dazu noindex
  und robots.txt: die Galerie ist frei zugänglich, soll aber nicht
  dauerhaft im Suchindex stehen.
- Der Betreiber darf Reservierungen ohne Token aufheben, damit sich eine
  Missbrauchswelle aufräumen lässt.
- uvicorn mit --proxy-headers: hinter einem Reverse-Proxy zählte sonst
  alles auf dessen IP, und ein einzelner Besucher sperrte alle aus.
- Container läuft nicht als root; Code gehört root, nur Daten und Bilder
  dem Dienstbenutzer.

Umgebungsvariablen heissen jetzt ausdrücklich englisch (ADMIN_PASSWORD,
SECRET_KEY, ...), passend zur Anleitung und zur Kantone-App.

59 Tests, alle grün. Zusätzlich gegen den laufenden Container geprüft.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01GR4bNaj9GtRu57J4Niii8o

docker-compose.yml

@@ -0,0 +1,29 @@
+# Zum Entwickeln und Testen: baut das Image aus dem Quellcode.
+# Für den Betrieb mit fertigem Image siehe docker-compose.betrieb.yml.
+services:
+  app:
+    build: .
+    ports:
+      - "8090:8000"
+
+    environment:
+      # Passwort für den Erfassungsbereich. Ohne Wert bleibt er gesperrt;
+      # die Galerie funktioniert trotzdem.
+      ADMIN_PASSWORD: "${ADMIN_PASSWORD:-}"
+
+      # Signiert das Sitzungs-Cookie. Ohne festen Wert ist man nach jedem
+      # Neustart abgemeldet.
+      SECRET_KEY: "${SECRET_KEY:-}"
+
+      # ACHTUNG - nur zum lokalen Testen über http://localhost.
+      # Im Betrieb hinter HTTPS unbedingt auf "true" lassen, sonst geht das
+      # Sitzungs-Cookie auch über unverschlüsselte Verbindungen mit.
+      COOKIE_HTTPS_ONLY: "false"
+
+    volumes:
+      - kleiderboerse-db:/data
+      - kleiderboerse-bilder:/uploads
+
+volumes:
+  kleiderboerse-db:
+  kleiderboerse-bilder: