From 2942b663ecbe728c8981c8cd0266f57fdcb2f21f Mon Sep 17 00:00:00 2001 From: fds2610 Date: Wed, 25 Mar 2026 16:08:05 +0100 Subject: [PATCH] Changes.md wiederhergestellt und aktualisiert --- Changes.md | 45 +++++++++++++++++++++++++++++++++++++-------- 1 file changed, 37 insertions(+), 8 deletions(-) diff --git a/Changes.md b/Changes.md index 7c408af..f4a3d03 100644 --- a/Changes.md +++ b/Changes.md @@ -1,16 +1,45 @@ -# Änderungshistorie +# Changelog -## Unveröffentlicht +--- -### Neu -- **Session-Authentifizierung** – HTTP Basic Auth durch cookie-basierte Session-Authentifizierung ersetzt; Sessions laufen nach 24 Stunden absolut ab (kein Sliding Expiry) -- **Benutzerverwaltung** (`/useradmin`) – Benutzer anlegen, bearbeiten (Benutzername und Passwort), deaktivieren und löschen; Passwörter werden mit bcrypt gehasht gespeichert -- **Ersteinrichtungsflow** – beim ersten Start ohne Benutzer leitet die Anwendung auf `/login` weiter und ermöglicht dort das Anlegen des ersten Administrator-Accounts +## 2026-03-25 – Session-Authentifizierung & Benutzerverwaltung + +### Features +- **Session-Authentifizierung**: HTTP Basic Auth durch cookie-basierte Session-Authentifizierung ersetzt; Sessions laufen nach 24 Stunden absolut ab +- **Benutzerverwaltung** (`/useradmin`): Benutzer anlegen, bearbeiten (Benutzername und Passwort), deaktivieren und löschen; Passwörter mit bcrypt gehasht +- **Ersteinrichtungsflow**: Beim ersten Start ohne Benutzer ermöglicht `/login` das Anlegen des ersten Administrator-Accounts - **Abmelden-Button** in der Seitenleiste ### Geändert -- `AUTH_USER` und `AUTH_PASS` entfernt – Zugangsdaten werden nun ausschließlich in der Datenbank verwaltet -- Neue Datenbanktabelle `users` (Migration `005_users.sql`) erforderlich +- `AUTH_USER` und `AUTH_PASS` entfernt – Zugangsdaten werden ausschließlich in der Datenbank verwaltet +- Neue Datenbanktabelle `users` (Migration `005_users.sql`) ### Behoben - Fehler in `BelegController` behoben + +--- + +## 2026-03-25 – Sicherheit, UX-Verbesserungen & Bugfixes + +### Sicherheit +- **Timing-sicherer Login**: Passwort- und Benutzernamevergleich auf `hash_equals()` umgestellt (verhindert Timing-Angriffe) +- **SVG-Upload gesperrt**: Logo-Upload akzeptiert nur noch PNG und JPEG – SVG wurde entfernt (XSS-Risiko) +- **CSV-Injection-Schutz**: Felder im Buchungsjournal-CSV-Export werden gegen Formula-Injection (`=`, `+`, `-`, `@`) abgesichert + +### Features +- **Inline-Editing**: Belegdatum und Rechnungsnr. können direkt in der Beleg-Detailansicht per Klick bearbeitet werden (kein Seitenreload) +- **Belegart-Filter**: Neue Filteroption in der Belegliste zum Filtern nach Belegart (Eingangsrechnung, Ausgangsrechnung, Quittung etc.) +- **Favicon & App-Icon**: Favicon für Browser-Tabs, Apple Touch Icon und Web-App-Manifest eingebunden + +### Robustheit +- **Datenbankfehler-Handling**: PDO-Exceptions in Invoice-, Booking- und BelegController werden separat abgefangen und geloggt statt als generische Fehler zu erscheinen + +--- + +## 2026-03-24 – Initiales Release + +### Features +- **Basis-System**: MVC-Framework, Routing, Authentifizierung, Datenbank-Migrations-System +- **Ausgangsrechnungen**: Erstellen, Verwalten und PDF-Export von Ausgangsrechnungen +- **EÜR-Vorbereitung**: Einnahmen-Überschuss-Rechnung als PDF-Export +- **UStVA-Vorbereitung**: Umsatzsteuer-Voranmeldung inkl. XML-Export für elster.de