Initial commit: Kalendartool (Next.js, Prisma, Docker)

Co-authored-by: Copilot <223556219+Copilot@users.noreply.github.com>

middleware.ts

@@ -0,0 +1,77 @@
+/**
+ * Middleware: schuetzt alle privaten Bereiche (plan.md Abschnitt 13).
+ *
+ * Nicht angemeldete Benutzer werden zur Anmeldung geleitet, bevor
+ * ueberhaupt serverseitige Daten geladen werden. Die eigentliche
+ * Berechtigungspruefung bleibt zusaetzlich in den Routen/Seiten
+ * (Defense in Depth) - die Middleware ist nur die erste Schranke.
+ */
+import { NextResponse, type NextRequest } from 'next/server';
+import { jwtVerify } from 'jose';
+
+const SESSION_COOKIE_NAME = 'calendar_session';
+
+/** Oeffentliche Pfade, die ohne Session erreichbar sind. */
+const PUBLIC_PATHS = new Set([
+  '/login',
+  '/register',
+  '/forgot-password',
+  // SSO-Einstieg der MultiToolApp-Plattform: Authentifizierung erfolgt
+  // ueber das Hub-Token im Query-Parameter, nicht ueber die Session.
+  '/auth/hub',
+  // Modul-Contract: Manifest muss ohne Session abrufbar sein.
+  '/api/manifest',
+]);
+
+function isPublicPath(pathname: string): boolean {
+  if (PUBLIC_PATHS.has(pathname)) {
+    return true;
+  }
+  // Invite-Annahme ist oeffentlich (plan.md Abschnitt 3).
+  if (pathname.startsWith('/invite/')) {
+    return true;
+  }
+  // Statische Assets und API-Auth-Routen.
+  if (pathname.startsWith('/_next') || pathname.startsWith('/api/auth')) {
+    return true;
+  }
+  // Modul-Contract: .well-known-Pfad (wird per Rewrite auf /api/manifest gemappt).
+  if (pathname.startsWith('/.well-known/')) {
+    return true;
+  }
+  return false;
+}
+
+export async function middleware(request: NextRequest) {
+  const { pathname } = request.nextUrl;
+
+  if (isPublicPath(pathname)) {
+    return NextResponse.next();
+  }
+
+  const token = request.cookies.get(SESSION_COOKIE_NAME)?.value;
+  if (!token) {
+    const loginUrl = new URL('/login', request.url);
+    return NextResponse.redirect(loginUrl);
+  }
+
+  try {
+    const secret = new TextEncoder().encode(process.env.SESSION_SECRET ?? '');
+    if (secret.length === 0) {
+      throw new Error('SESSION_SECRET fehlt.');
+    }
+    await jwtVerify(token, secret);
+    return NextResponse.next();
+  } catch {
+    // Ungueltige/abgelaufene Session -> Cookie loeschen und zur Anmeldung.
+    const loginUrl = new URL('/login', request.url);
+    const response = NextResponse.redirect(loginUrl);
+    response.cookies.delete(SESSION_COOKIE_NAME);
+    return response;
+  }
+}
+
+export const config = {
+  // Alles ausser statischen Dateien.
+  matcher: ['/((?!favicon.ico|.*\\.(?:png|jpg|jpeg|svg|ico|webp|txt)).*)'],
+};