# Vendoo 1.38.0 – Auth, Users, Sessions & Settings Native Module Migration

## Ziel

Vendoo 1.38.0 migriert die kritischen Identitäts- und Administrationsbereiche aus dem gewachsenen Legacy-Kern in native Plattformmodule. Die Migration folgt weiter dem Strangler-Prinzip: vorhandene Tabellen, Benutzer, Rollen, Sitzungen und Einstellungen bleiben bestehen; die Verantwortlichkeit wird hinter klaren Modulverträgen neu geordnet.

## Native Module

- `vendoo.auth`: Setup, Login, Einladungen, Invite-Annahme und Logout
- `vendoo.users`: eigenes Profil, Benutzerverwaltung, Rollen, Passwort-Reset und Login-Historie
- `vendoo.sessions`: eigene und administrative Sitzungsverwaltung, Revocation und Cleanup
- `vendoo.settings`: Anwendungseinstellungen, SMTP-Konfiguration und Secret-Store-Anbindung

Zusammen mit `vendoo.security` und `vendoo.themes` sind damit sechs von vierzehn registrierten Modulen nativ. Acht Bereiche bleiben transparente `legacy-bridge`-Module.

## Sicherheitsverbesserungen

- Deny-by-default-Routenverträge für alle neuen Identitäts- und Settings-Endpunkte
- zentrale Schema-, Enum-, Integer- und Unknown-Field-Validierung
- letzter aktiver Administrator kann nicht gelöscht, deaktiviert oder herabgestuft werden
- Benutzer dürfen ausschließlich eigene Sitzungen widerrufen
- administrative Sitzungsaktionen benötigen `sessions.manage`
- Login-Historie benötigt `users.manage`
- SMTP-Verwaltung benötigt `settings.manage`
- unbekannte Settings-Felder werden abgewiesen
- Passwort-Hashes, Secret-Klarwerte und Session-Tokens werden nicht in Listen- oder Statusantworten ausgegeben

## Kompatibilität

`lib/auth.mjs` bleibt als schmale Kompatibilitätsfassade bestehen und exportiert den neuen Identity Core. Dadurch können noch nicht migrierte Legacy-Bereiche weiterarbeiten, ohne eine zweite Identitätsimplementierung zu pflegen.

Es gibt keine Datenbankablösung und keine destruktive Migration. Windows, Docker Desktop, NAS/Portainer und VPS bleiben unterstützt.
