vendoo/docs/RELEASE_1_38_0_AUTH_USERS_SESSIONS_SETTINGS.md

Vendoo 1.38.0 – Auth, Users, Sessions & Settings Native Module Migration

Ziel

Vendoo 1.38.0 migriert die kritischen Identitäts- und Administrationsbereiche aus dem gewachsenen Legacy-Kern in native Plattformmodule. Die Migration folgt weiter dem Strangler-Prinzip: vorhandene Tabellen, Benutzer, Rollen, Sitzungen und Einstellungen bleiben bestehen; die Verantwortlichkeit wird hinter klaren Modulverträgen neu geordnet.

Native Module

• vendoo.auth: Setup, Login, Einladungen, Invite-Annahme und Logout
• vendoo.users: eigenes Profil, Benutzerverwaltung, Rollen, Passwort-Reset und Login-Historie
• vendoo.sessions: eigene und administrative Sitzungsverwaltung, Revocation und Cleanup
• vendoo.settings: Anwendungseinstellungen, SMTP-Konfiguration und Secret-Store-Anbindung

Zusammen mit vendoo.security und vendoo.themes sind damit sechs von vierzehn registrierten Modulen nativ. Acht Bereiche bleiben transparente legacy-bridge-Module.

Sicherheitsverbesserungen

• Deny-by-default-Routenverträge für alle neuen Identitäts- und Settings-Endpunkte
• zentrale Schema-, Enum-, Integer- und Unknown-Field-Validierung
• letzter aktiver Administrator kann nicht gelöscht, deaktiviert oder herabgestuft werden
• Benutzer dürfen ausschließlich eigene Sitzungen widerrufen
• administrative Sitzungsaktionen benötigen sessions.manage
• Login-Historie benötigt users.manage
• SMTP-Verwaltung benötigt settings.manage
• unbekannte Settings-Felder werden abgewiesen
• Passwort-Hashes, Secret-Klarwerte und Session-Tokens werden nicht in Listen- oder Statusantworten ausgegeben

Kompatibilität

lib/auth.mjs bleibt als schmale Kompatibilitätsfassade bestehen und exportiert den neuen Identity Core. Dadurch können noch nicht migrierte Legacy-Bereiche weiterarbeiten, ohne eine zweite Identitätsimplementierung zu pflegen.

Es gibt keine Datenbankablösung und keine destruktive Migration. Windows, Docker Desktop, NAS/Portainer und VPS bleiben unterstützt.