[Security/Critical] Fast alle Controller haben kein [Authorize] #34

New issue

Closed

opened 2026-09-09 20:16:55 +00:00 by Aceless · 1 comment

Aceless commented

2026-09-09 20:16:55 +00:00

Owner

Problem

Nur SpaceController traegt [Authorize]. Ohne Attribut sind ungeschuetzt:

RecipeController
RecipeImagesController
MealPlansController
MealPlanEntriesController
SpaceMembersController

Die Endpunkte rufen User.GetUserId() auf. Ohne Token wirft UserClaimsExtensions.GetUserId eine Exception, der Aufrufer bekommt 500 statt 401.

Auswirkung

Falscher Statuscode, die App kann abgelaufene Tokens nicht erkennen und nicht sauber neu anmelden.
Die Zugriffskontrolle haengt allein daran, dass jede Repository-Methode zufaellig noch einmal prueft. Eine vergessene Pruefung ist sofort ein offenes Datenleck.

Fix

Globale Fallback-Policy setzen und die oeffentlichen Endpunkte explizit freigeben:

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

AuthController.Login/Register und AppInfoController bekommen [AllowAnonymous].

## Problem Nur `SpaceController` traegt `[Authorize]`. Ohne Attribut sind ungeschuetzt: - `RecipeController` - `RecipeImagesController` - `MealPlansController` - `MealPlanEntriesController` - `SpaceMembersController` Die Endpunkte rufen `User.GetUserId()` auf. Ohne Token wirft `UserClaimsExtensions.GetUserId` eine `Exception`, der Aufrufer bekommt **500** statt **401**. ## Auswirkung - Falscher Statuscode, die App kann abgelaufene Tokens nicht erkennen und nicht sauber neu anmelden. - Die Zugriffskontrolle haengt allein daran, dass jede Repository-Methode zufaellig noch einmal prueft. Eine vergessene Pruefung ist sofort ein offenes Datenleck. ## Fix Globale Fallback-Policy setzen und die oeffentlichen Endpunkte explizit freigeben: ```csharp builder.Services.AddAuthorization(options => { options.FallbackPolicy = new AuthorizationPolicyBuilder() .RequireAuthenticatedUser() .Build(); }); ``` `AuthController.Login/Register` und `AppInfoController` bekommen `[AllowAnonymous]`.

Aceless added the

security

critical

labels

2026-09-09 20:16:55 +00:00

Aceless referenced this issue from a commit

2026-09-09 21:18:12 +00:00

Anwendungsstart: Routing, Autorisierung, Rate Limiting, Secrets

Aceless commented

2026-09-09 21:18:46 +00:00

Author

Owner

Erledigt.

Statt einzelner Attribute gibt es jetzt eine globale Fallback-Policy in Program.cs:

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

Jeder Endpunkt ohne eigenes Attribut verlangt damit ein gültiges Token. Bewusst offen sind nur POST /api/auth/login, POST /api/auth/register, der AppInfoController und /health.

GetUserId() wirft außerdem keine nackte Exception mehr, sondern eine typisierte, die auf 401 abgebildet wird.

Geprüft: Aufrufe ohne Token auf /api/spaces und /api/spaces/{id}/recipes liefern jetzt 401 statt 500.

Branch backend/issue-fixes, Commits 2a1cc95.

Erledigt. Statt einzelner Attribute gibt es jetzt eine globale Fallback-Policy in `Program.cs`: ```csharp builder.Services.AddAuthorization(options => { options.FallbackPolicy = new AuthorizationPolicyBuilder() .RequireAuthenticatedUser() .Build(); }); ``` Jeder Endpunkt ohne eigenes Attribut verlangt damit ein gültiges Token. Bewusst offen sind nur `POST /api/auth/login`, `POST /api/auth/register`, der `AppInfoController` und `/health`. `GetUserId()` wirft außerdem keine nackte `Exception` mehr, sondern eine typisierte, die auf 401 abgebildet wird. **Geprüft:** Aufrufe ohne Token auf `/api/spaces` und `/api/spaces/{id}/recipes` liefern jetzt 401 statt 500. --- Branch `backend/issue-fixes`, Commits 2a1cc95.

Aceless closed this issue

2026-09-09 21:18:46 +00:00