christian/pfandsystem-demo
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat(backend): multi-tenant refactor + Geraete + Kundenbilder

Browse Source 
Middleware:
- requireTenant prueft tenant_id, Status und Demo-Ablauf (autom. Status-Update)
- requireSuperAdmin fuer cross-tenant Endpoints
- JWT enthaelt jetzt tenant_id

Auth:
- Login: SuperAdmin (tenant_id=NULL) ODER tenant-scoped User
- Demo-Ablaufs-Check beim Login

Neue Routes:
- /api/tenants  (SuperAdmin: Demo-Accounts anlegen mit 30-Tage-Default,
                 Mail-Invite via Resend, Sample-Daten-Seed automatisch,
                 verlaengern, deaktivieren)
- /api/geraete  (Seriennummern-Verwaltung mit Kunde-Zuordnung)
- /api/kunden-bilder/:kunde_id (Foto-Upload, max 5/Kunde)

Bestehende Routes:
- alle tenant_id-scoped (SELECT/UPDATE/DELETE)
- kunden: anlieferungshinweis + lieferzeit_bis Felder
- Cross-tenant-Refs (kunde_id/artikel_id) werden gegen Tenant validiert

Lib:
- lib/mail.js (Resend, mit Dev-Fallback)
- lib/seed.js (5 Kunden, 3 Artikel, 6 Lieferungen, 2 Geraete)
- scripts/bootstrap.js (legt SuperAdmin aus env-Vars beim Start an)

server.js: neue Routes + bootstrap-Call
This commit is contained in:
christian
2026-05-26 12:47:17 +00:00
parent d86c898455
commit 43c75e5dd3
14 changed files with 844 additions and 576 deletions
Download Patch File Download Diff File Expand all files Collapse all files

160
backend/routes/mitarbeiter.js
View File

@@ -1,126 +1,102 @@
import express from 'express';
import bcrypt from 'bcrypt';
import { body, validationResult } from 'express-validator';
import pool from '../config/database.js';
import { authenticateToken, requireRole } from '../middleware/auth.js';
import { authenticateToken, requireTenant, requireRole } from '../middleware/auth.js';
const router = express.Router();
router.use(authenticateToken, requireTenant);
// Alle Routen erfordern Authentifizierung
router.use(authenticateToken);
// GET alle Mitarbeiter (nur Admin)
router.get('/', requireRole(['admin']), async (req, res) => {
router.get('/', requireRole(['admin', 'superadmin']), async (req, res) => {
try {
const [rows] = await pool.query(
'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter ORDER BY name ASC'
`SELECT id, email, name, rolle, aktiv, erstellt_am FROM mitarbeiter
WHERE tenant_id = ? ORDER BY name ASC`,
[req.user.tenant_id]
);
res.json(rows);
} catch (error) {
console.error('Fehler beim Abrufen der Mitarbeiter:', error);
res.status(500).json({ error: 'Serverfehler' });
}
} catch (e) { res.status(500).json({ error: 'Serverfehler' }); }
});
// GET einzelner Mitarbeiter
router.get('/:id', async (req, res) => {
try {
const [rows] = await pool.query(
'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter WHERE id = ?',
[req.params.id]
);
if (rows.length === 0) {
return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
}
res.json(rows[0]);
} catch (error) {
console.error('Fehler beim Abrufen des Mitarbeiters:', error);
res.status(500).json({ error: 'Serverfehler' });
}
});
// PUT Mitarbeiter aktualisieren (nur Admin oder eigener Account)
router.put('/:id', [
body('name').optional().trim(),
body('rolle').optional().isIn(['user', 'admin'])
router.post('/', requireRole(['admin']), [
body('email').isEmail().normalizeEmail(),
body('password').isLength({ min: 6 }),
body('name').notEmpty().trim(),
body('rolle').isIn(['user', 'admin', 'fahrer'])
], async (req, res) => {
const errors = validationResult(req);
if (!errors.isEmpty()) {
return res.status(400).json({ errors: errors.array() });
}
if (!errors.isEmpty()) return res.status(400).json({ errors: errors.array() });
try {
// Pruefe Limit
const [[t]] = await pool.query('SELECT max_users FROM tenants WHERE id = ?', [req.user.tenant_id]);
const [[c]] = await pool.query('SELECT COUNT(*) AS n FROM mitarbeiter WHERE tenant_id = ?',
[req.user.tenant_id]);
if (c.n >= t.max_users) return res.status(403).json({ error: `Limit erreicht (${t.max_users} User)` });
const [[ex]] = await pool.query(
'SELECT id FROM mitarbeiter WHERE email = ? AND tenant_id = ?',
[req.body.email, req.user.tenant_id]
);
if (ex) return res.status(400).json({ error: 'Email bereits vergeben' });
const hash = await bcrypt.hash(req.body.password, 10);
await pool.query(
`INSERT INTO mitarbeiter (id, tenant_id, email, password_hash, name, rolle, aktiv)
VALUES (UUID(), ?, ?, ?, ?, ?, 1)`,
[req.user.tenant_id, req.body.email, hash, req.body.name, req.body.rolle]
);
res.status(201).json({ message: 'Mitarbeiter angelegt' });
} catch (e) {
console.error('POST mitarbeiter:', e);
res.status(500).json({ error: 'Serverfehler' });
}
});
router.put('/:id', [
body('name').optional().trim(),
body('rolle').optional().isIn(['user', 'admin', 'fahrer']),
body('aktiv').optional().isBoolean()
], async (req, res) => {
const errors = validationResult(req);
if (!errors.isEmpty()) return res.status(400).json({ errors: errors.array() });
// Nur Admin darf andere Mitarbeiter bearbeiten oder Rollen ändern
if (req.params.id !== req.user.id && req.user.rolle !== 'admin') {
return res.status(403).json({ error: 'Keine Berechtigung' });
}
// Nur Admin darf Rollen ändern
if (req.body.rolle && req.user.rolle !== 'admin') {
return res.status(403).json({ error: 'Keine Berechtigung zum Ändern der Rolle' });
if ((req.body.rolle || req.body.aktiv !== undefined) && req.user.rolle !== 'admin') {
return res.status(403).json({ error: 'Nur Admin darf Rolle/Aktiv aendern' });
}
const { name, rolle } = req.body;
const updates = [];
const values = [];
if (name) {
updates.push('name = ?');
values.push(name);
}
if (rolle && req.user.rolle === 'admin') {
updates.push('rolle = ?');
values.push(rolle);
}
if (updates.length === 0) {
return res.status(400).json({ error: 'Keine Änderungen angegeben' });
}
values.push(req.params.id);
if (req.body.name) { updates.push('name = ?'); values.push(req.body.name); }
if (req.body.rolle) { updates.push('rolle = ?'); values.push(req.body.rolle); }
if (req.body.aktiv !== undefined) { updates.push('aktiv = ?'); values.push(req.body.aktiv ? 1 : 0); }
if (updates.length === 0) return res.status(400).json({ error: 'Keine Aenderungen' });
values.push(req.params.id, req.user.tenant_id);
try {
await pool.query(
`UPDATE mitarbeiter SET ${updates.join(', ')} WHERE id = ?`,
const [r] = await pool.query(
`UPDATE mitarbeiter SET ${updates.join(', ')} WHERE id = ? AND tenant_id = ?`,
values
);
const [updated] = await pool.query(
'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter WHERE id = ?',
[req.params.id]
if (r.affectedRows === 0) return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
const [rows] = await pool.query(
'SELECT id, email, name, rolle, aktiv FROM mitarbeiter WHERE id = ? AND tenant_id = ?',
[req.params.id, req.user.tenant_id]
);
if (updated.length === 0) {
return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
}
res.json(updated[0]);
} catch (error) {
console.error('Fehler beim Aktualisieren des Mitarbeiters:', error);
res.status(500).json({ error: 'Serverfehler' });
}
res.json(rows[0]);
} catch (e) { res.status(500).json({ error: 'Serverfehler' }); }
});
// DELETE Mitarbeiter (nur Admin)
router.delete('/:id', requireRole(['admin']), async (req, res) => {
// Verhindere Selbstlöschung
if (req.params.id === req.user.id) {
return res.status(400).json({ error: 'Sie können sich nicht selbst löschen' });
}
if (req.params.id === req.user.id) return res.status(400).json({ error: 'Sie koennen sich nicht selbst loeschen' });
try {
const [result] = await pool.query('DELETE FROM mitarbeiter WHERE id = ?', [req.params.id]);
if (result.affectedRows === 0) {
return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
}
res.json({ message: 'Mitarbeiter erfolgreich gelöscht' });
} catch (error) {
console.error('Fehler beim Löschen des Mitarbeiters:', error);
res.status(500).json({ error: 'Serverfehler' });
}
const [r] = await pool.query('DELETE FROM mitarbeiter WHERE id=? AND tenant_id=?',
[req.params.id, req.user.tenant_id]);
if (r.affectedRows === 0) return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
res.json({ message: 'Mitarbeiter geloescht' });
} catch (e) { res.status(500).json({ error: 'Serverfehler' }); }
});
export default router;