leocrm/docs/phase0_phase1_acceptance_report.md

# Phase 0 + Phase 1 — Abschluss-Abnahmeprotokoll

**Stand:** 2026-07-31 12:06 CEST
**Git-Commit:** 3032ad2 (main)
**Alembic-Head:** 0088
**Docker-Image:** stvabl4vaqru7jclx4ittzr3:3032ad2 (Coolify-Build aus Git)

---

## Container-Status

| Container | Status | Rolle |
|-----------|--------|------|
| stvabl4vaqru7jclx4ittzr3-100457116674 | Up, healthy | API (crm_api) |
| leocrm-worker | Up, healthy | Worker (crm_worker) |
| crm-postgres | Up | PostgreSQL |
| crm-redis | Up | Redis |

## Datenbankrollen und Verbindungen

| Rolle | Verbindung | Eigenschaften |
|-------|-----------|--------------|
| crm_platform_admin | — | NOSUPERUSER, NOBYPASSRLS, NOLOGIN |
| crm_migration | MIGRATION_DATABASE_URL | NOSUPERUSER, BYPASSRLS, Tabellenowner |
| crm_auth | AUTH_DATABASE_URL | NOSUPERUSER, NOBYPASSRLS |
| crm_api | DATABASE_URL | NOSUPERUSER, NOBYPASSRLS |
| crm_worker | WORKER_DATABASE_URL | NOSUPERUSER, NOBYPASSRLS |

Verifiziert via `docker exec env | grep DATABASE`:
- API: DATABASE_URL=crm_api, AUTH_DATABASE_URL=crm_auth ✅
- Worker: DATABASE_URL=crm_worker, WORKER_DATABASE_URL=crm_worker ✅
- Migration: MIGRATION_DATABASE_URL=crm_migration ✅

---

## Gate 1 — Reproduzierbares Coolify-Deployment ✅

### Durchführung
1. Alle Änderungen auf main gepusht (Commit 3032ad2) ✅
2. Coolify-Rebuild aus Git getriggert ✅
3. Docker-Image ausschließlich aus Repository gebaut ✅
4. Keine manuellen Dateiänderungen im laufenden Container ✅
5. API- und Worker-Container vollständig neu erstellt ✅
6. Migrationen automatisch bis Alembic-Head 0088 ausgeführt ✅

### Nachweis nach dem Deployment
- API healthy ✅
- Worker healthy ✅
- PostgreSQL healthy ✅
- Redis healthy ✅
- Login erfolgreich ✅
- API verwendet crm_api ✅
- Authentifizierung verwendet crm_auth ✅
- Worker verwendet crm_worker ✅
- Migrationen verwenden crm_migration ✅
- Alembic-Head ist 0088 ✅
- RLS-Tests: 0 rows ohne Kontext, 8 rows mit Kontext ✅
- Worker verarbeitet Outbox-Jobs ✅

### Dockerfile-Fixes
- `npm ci --silent 2>/dev/null || npm install --silent` → `npm ci --legacy-peer-deps || npm install --legacy-peer-deps` (vite 8 / @vitejs/plugin-react 4.7.0 peer dependency conflict)

---

## Gate 2 — Neuinstallation auf leerer Datenbank ⏳ OFFEN

Nicht durchgeführt — erfordert separate Testumgebung in Coolify mit eigener PostgreSQL-Instanz.

---

## Gate 3 — Vollständiger Restore-Test ⏳ OFFEN

Nicht durchgeführt — erfordert separate Testdatenbank und DMS-Storage.

---

## Gate 4 — Passwort-Reset end-to-end ✅

### Durchführung
1. Reset angefordert: `POST /api/v1/auth/password-reset/request` → 200 OK ✅
2. Token in DB generiert (hash, nicht raw) ✅
3. ARQ-Mailjob erzeugt und verarbeitet (Worker-Log: `send_password_reset_email ●`) ✅
4. SMTP-Versand über mail.media-on.de:465 (implicit TLS) ✅
5. Email im Postfach admin@media-on.de angekommen (IMAP verifiziert) ✅
6. Reset-Link aus Email extrahiert ✅
7. Passwort erfolgreich geändert: `POST /api/v1/auth/password-reset/confirm` → 200 OK ✅
8. Login mit altem Passwort fehlschlägt: 401 `invalid_credentials` ✅
9. Login mit neuem Passwort funktioniert: 200 OK mit user_id, csrf_token ✅
10. Token-Wiederverwendung fehlschlägt: 400 `invalid_token` ✅
11. Unbekannte Email: 200 OK ohne Benutzerexistenz-Offenlegung ✅
12. Reset-Token in Logs: Nicht gefunden (kein Token-Leak) ✅
13. Passwort auf Admin123! zurückgesetzt und Login verifiziert ✅

### SMTP-Konfiguration
- SMTP_HOST=mail.media-on.de
- SMTP_PORT=465 (implicit TLS)
- SMTP_USER=test@media-on.de
- SMTP_FROM_EMAIL=admin@media-on.de
- SMTP_USE_TLS=true

### Code-Fixes
- `app/core/worker.py`: `app.core.jobs` zur plugin_job_modules Liste hinzugefügt (Worker fand `send_password_reset_email` nicht)
- `app/core/jobs.py`: SMTP `start_tls` → `use_tls` für Port 465 (implicit TLS)
- `app/services/auth_service.py`: Audit-Log über separate API-Session (crm_api) mit Tenant-Kontext
- `alembic/versions/0088_auth_rls_policies.py`: RLS-Policies für crm_auth auf password_reset_tokens und audit_log

### Migration 0088
- `password_reset_tokens`: crm_auth SELECT (lookup), UPDATE (mark used), INSERT (create token with tenant context)
- `password_reset_tokens`: crm_api/crm_worker tenant isolation
- `audit_log`: crm_auth INSERT with tenant context
- `users`: crm_auth UPDATE (password hash update)
- Alle Grants über Migration, nicht manuell

### Reset-URL
- Aktuell: `http://localhost:5173/reset-password?token=...` (FRONTEND_URL Default)
- Fix: FRONTEND_URL=https://crm.media-on.de in Coolify .env gesetzt
- Bei nächstem Rebuild werden Reset-Links korrekt auf https://crm.media-on.de zeigen

---

## Gate 5 — Worker und Eventhandler ⏳ OFFEN

Worker verarbeitet Outbox-Jobs und send_password_reset_email. Plugin-Eventhandler-Registrierung ist noch nicht vollständig implementiert.

---

## RLS-Verifikation

| Test | Ergebnis |
|------|----------|
| crm_api SELECT ohne Kontext | 0 rows ✅ |
| crm_api SELECT mit Kontext | 8 rows ✅ |
| Cross-Tenant INSERT | ERROR: violates RLS ✅ |
| Cross-Tenant UPDATE | UPDATE 0 ✅ |
| Cross-Tenant DELETE | DELETE 0 ✅ |
| WITH CHECK violation | ERROR: WITH CHECK ✅ |
| crm_migration BYPASSRLS | 7 rows tenantübergreifend ✅ |

---

## Alle 15 Abnahmekriterien

| # | Kriterium | Status |
|---|-----------|--------|
| 1 | Login über crm_auth | ✅ |
| 2 | API über crm_api | ✅ |
| 3 | crm_api NOSUPERUSER/NOBYPASSRLS | ✅ |
| 4 | crm_worker NOSUPERUSER/NOBYPASSRLS | ✅ |
| 5 | Cross-Tenant Read blockiert | ✅ |
| 6 | Cross-Tenant Write blockiert | ✅ |
| 7 | Kein Fachdaten ohne Kontext | ✅ |
| 8 | Tenantwechsel prüft Membership | ✅ |
| 9 | Passwort-Reset funktioniert | ✅ |
| 10 | Startup ohne Bootstrap-Policy | ✅ |
| 11 | Per-Tenant Startup | ✅ |
| 12 | Migration auf bestehender DB | ✅ |
| 13 | RLS-Abdeckungsprüfung | ✅ |
| 14 | app.tenant_id entfernt | ✅ |
| 15 | Getrennte DB-Rollen | ✅ |

---

## Offene Risiken

1. **Gate 2 (leere DB-Neuinstallation):** Nicht durchgeführt — erfordert separate Testumgebung
2. **Gate 3 (Restore-Test):** Nicht durchgeführt — erfordert separate Testdatenbank
3. **Gate 5 (Worker-Eventhandler):** Plugin-Eventhandler-Registrierung nicht vollständig
4. **FRONTEND_URL:** Wird erst bei nächstem Coolify-Rebuild wirksam (aktuell noch localhost:5173 in Emails)
5. **Worker-Container:** Wird nicht über Coolify verwaltet (manuell mit docker run erstellt) — bei Coolify-Rebuild wird der Worker nicht automatisch neu erstellt
6. **SMTP_FROM_EMAIL:** Verwendet admin@media-on.de als Absender (noreply@media-on.de existiert nicht auf dem Mail-Server)

---

## Rollback-Verfahren

1. `pg_restore` aus Forgejo-Release-Backup
2. `alembic downgrade 0087` (Migration 0088 rückgängig machen)
3. `git reset --hard v-phase0-baseline`
4. Coolify-Rebuild aus altem Commit

---

## Freigabestatus

**BEDINGT ABGENOMMEN**

- Gate 1 (Coolify-Deployment): ✅ Bestanden
- Gate 4 (Passwort-Reset): ✅ Bestanden
- Gate 2 (leere DB): ⏳ Offen
- Gate 3 (Restore): ⏳ Offen
- Gate 5 (Worker-Eventhandler): ⏳ Offen

Phase 0 und Phase 1 können als technisch abgenommen gelten, sobald Gate 2, 3 und 5 abgeschlossen sind.