From 20f96f69d0e5a7d2ec13768f6a728e7b5993d09c Mon Sep 17 00:00:00 2001 From: Meleki Date: Fri, 6 Mar 2026 15:00:11 +0100 Subject: [PATCH] =?UTF-8?q?feat:=20API-Key-Auth=20f=C3=BCr=20Krea-Endpoint?= =?UTF-8?q?s=20(Automation=20ohne=20User-Kontext)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - AuthMiddleware: X-Api-Key Header-Prüfung für /api/images/* Routen - Neues Config-Feld KreaApiKey in appsettings.json - Bei gültigem API-Key wird Request ohne Cookie-Auth durchgelassen - Normaler User-Auth funktioniert weiterhin als Fallback - ARCHITECTURE.md + ARCHITECTURE_QUICK.md aktualisiert --- ARCHITECTURE.md | 9 +++++++-- ARCHITECTURE_QUICK.md | 10 ++++++---- Middleware/AuthMiddleware.cs | 16 +++++++++++++++- appsettings.json | 3 ++- 4 files changed, 30 insertions(+), 8 deletions(-) diff --git a/ARCHITECTURE.md b/ARCHITECTURE.md index 520bf07..a76c79d 100644 --- a/ARCHITECTURE.md +++ b/ARCHITECTURE.md @@ -368,10 +368,14 @@ Alle Endpoints folgen dem **Minimal API**-Pattern mit Extension Methods (`MapXxx Ausnahmen (kein Auth nötig): - Statische Dateien (nicht `/api/`) - `POST /api/auth/login` +- `GET /api/auth/autologin` (Token-basierter Autologin via Link) - `POST /api/telegram/webhook/{sessionId}` (authentifiziert via Secret-Header) - `GET /api/shared/{token}` (öffentlicher Zugriff auf geteilte Nachrichten) -Bei Erfolg werden `UserId` und `IsAdmin` in `HttpContext.Items` gesetzt. +**API-Key Auth** (ohne User-Kontext): +- `/api/images/*`-Routen akzeptieren einen `X-Api-Key`-Header. Wenn der Key mit `KreaApiKey` aus der Config übereinstimmt, wird der Request ohne User-Authentifizierung durchgelassen. Normaler Cookie-Auth funktioniert weiterhin als Fallback. + +Bei Erfolg werden `UserId` und `IsAdmin` in `HttpContext.Items` gesetzt (bei API-Key-Auth sind diese nicht gesetzt). ### Models @@ -1062,7 +1066,8 @@ Die Anwendung läuft als systemd Service (`gott.service`), Kestrel auf Port 1900 "MaxIterations": 100, // Max Tool-Loop Iterationen pro Chat "PayloadLogging": false, // API-Payloads loggen (Debug) "PayloadLoggingGzip": false, // Payload-Logs als .gz komprimieren - "KreaToken": "" // Krea API Token (optional) + "KreaToken": "", // Krea API Token (optional) + "KreaApiKey": "" // API-Key für Krea-Endpoints ohne User-Auth (optional) } ``` diff --git a/ARCHITECTURE_QUICK.md b/ARCHITECTURE_QUICK.md index 528bc9f..9ba6312 100644 --- a/ARCHITECTURE_QUICK.md +++ b/ARCHITECTURE_QUICK.md @@ -194,9 +194,10 @@ User-Input → POST /api/chat (SSE) 1. `POST /api/auth/login` → Token generiert, als `gott_token` HttpOnly Cookie gesetzt 2. Jeder `/api/`-Request → `AuthMiddleware` prüft Cookie → setzt `UserId` + `IsAdmin` -3. Ausnahmen: Login, Telegram-Webhook und `GET /api/shared/{token}` brauchen kein Auth -4. **Impersonate**: Admin kann via `POST /api/admin/users/{id}/impersonate` als anderer User einloggen -5. **DefaultPath**: Pro User ein Basis-Ordner (nur vom Admin setzbar), Session-Workspaces sind relativ dazu +3. Ausnahmen: Login, Telegram-Webhook, `GET /api/shared/{token}` und Autologin brauchen kein Auth +4. **Krea API-Key**: `/api/images/`-Routen akzeptieren `X-Api-Key`-Header (Config: `KreaApiKey`) für Automation ohne User-Kontext +5. **Impersonate**: Admin kann via `POST /api/admin/users/{id}/impersonate` als anderer User einloggen +6. **DefaultPath**: Pro User ein Basis-Ordner (nur vom Admin setzbar), Session-Workspaces sind relativ dazu --- @@ -208,7 +209,8 @@ User-Input → POST /api/chat (SSE) "MaxIterations": 100, // Max Tool-Loop Iterationen pro Chat "PayloadLogging": false, // API-Payloads loggen (Debug) "PayloadLoggingGzip": false, // Payload-Logs als .gz komprimieren - "KreaToken": "" // Krea API Token (optional) + "KreaToken": "", // Krea API Token (optional) + "KreaApiKey": "" // API-Key für Krea-Endpoints ohne User-Auth (optional) } ``` diff --git a/Middleware/AuthMiddleware.cs b/Middleware/AuthMiddleware.cs index 5185263..4927377 100644 --- a/Middleware/AuthMiddleware.cs +++ b/Middleware/AuthMiddleware.cs @@ -1,16 +1,19 @@ using System.Threading.Tasks; using Gott.Services; using Microsoft.AspNetCore.Http; +using Microsoft.Extensions.Configuration; namespace Gott.Middleware; public class AuthMiddleware { private readonly RequestDelegate _next; + private readonly string _kreaApiKey; - public AuthMiddleware(RequestDelegate next) + public AuthMiddleware(RequestDelegate next, IConfiguration config) { _next = next; + _kreaApiKey = config["KreaApiKey"] ?? ""; } public async Task InvokeAsync(HttpContext ctx, AuthService auth, DatabaseService db) @@ -27,6 +30,17 @@ public class AuthMiddleware return; } + // Krea API-Key auth (for automation without user context) + if (path.StartsWith("/api/images/") && !string.IsNullOrEmpty(_kreaApiKey)) + { + var apiKey = ctx.Request.Headers["X-Api-Key"].ToString(); + if (!string.IsNullOrEmpty(apiKey) && apiKey == _kreaApiKey) + { + await _next(ctx); + return; + } + } + var token = ctx.Request.Cookies["gott_token"]; var userId = auth.ValidateToken(token); diff --git a/appsettings.json b/appsettings.json index 2bd9718..c1a3796 100755 --- a/appsettings.json +++ b/appsettings.json @@ -10,5 +10,6 @@ "MaxIterations": 100, "PayloadLogging": false, "PayloadLoggingGzip": false, - "KreaToken": "" + "KreaToken": "", + "KreaApiKey": "" }