umbau 1.0

app/security/session_reaper.py

@@ -0,0 +1,83 @@
+"""
+Startup-Reaper fuer verwaiste Sitzungen (Umsetzungsauftrag_Sonnet5.md, E7).
+
+app/security/active_sessions.py ist bewusst rein prozesslokal -- bei einem
+Absturz oder Neustart des uvicorn-Prozesses geht diese Registry verloren,
+aber die zugehoerigen Zeilen in der Tabelle 'sessions' bleiben mit
+ended_at IS NULL stehen, weil kein Task mehr existiert, der den regulaeren
+finally-Cleanup-Pfad (Update + Audit-Event) durchlaeuft.
+
+Ohne Korrektur wachsen diese 'Geistersitzungen' mit jedem Neustart an:
+die Superadmin-Sessionview zeigt sie als aktiv, aber nicht beendbar
+(killable: false), und jede kuenftige Zaehlung 'wie viele Sitzungen hat
+dieser Benutzer offen' (E6, Teil F) rechnet mit ihnen.
+
+reap_orphaned_sessions() wird einmalig beim Start aufgerufen (app/main.py::
+lifespan, NACH init_db() -- die Migrationen muessen gelaufen sein) und
+schliesst alle offenen Sitzungen mit end_reason='server_restart'. Es ist zu
+diesem Zeitpunkt garantiert korrekt, JEDE offene Sitzung so zu behandeln:
+der Prozess startet gerade erst, es kann also noch keine echte, laufende
+Sitzung dieses neuen Prozesses geben.
+"""
+from __future__ import annotations
+
+import logging
+
+import aiosqlite
+
+from app.security.audit import write_audit_event
+
+logger = logging.getLogger("jumphost.session_reaper")
+
+
+async def reap_orphaned_sessions(conn: aiosqlite.Connection) -> int:
+    """Schliesst alle beim Start noch offenen Sitzungen. Gibt die Anzahl zurueck."""
+    cursor = await conn.execute(
+        "SELECT id FROM sessions WHERE ended_at IS NULL ORDER BY id"
+    )
+    rows = await cursor.fetchall()
+    orphaned_ids = [row[0] for row in rows]
+
+    if not orphaned_ids:
+        logger.info("Keine verwaisten Sitzungen beim Start gefunden.")
+        return 0
+
+    await conn.execute(
+        "UPDATE sessions SET ended_at = strftime('%Y-%m-%dT%H:%M:%fZ','now'), "
+        "end_reason = 'server_restart' WHERE ended_at IS NULL"
+    )
+    # Bug-Fix (FORTSETZUNG_Teil_C.md Abschnitt 3 Punkt 3): explizit committen,
+    # BEVOR write_audit_event() unten aufgerufen wird. write_audit_event()
+    # oeffnet immer ein eigenes "BEGIN IMMEDIATE" (app/security/audit.py, E1)
+    # -- ohne diesen Commit bleibt das UPDATE oben (je nach isolation_level
+    # der uebergebenen Connection) als offene Transaktion stehen, und das
+    # BEGIN IMMEDIATE schlaegt mit "cannot start a transaction within a
+    # transaction" fehl. In der Produktion faellt das nicht auf, weil
+    # app/db.py::init_db() die einzige echte Connection bewusst mit
+    # isolation_level=None (Autocommit) oeffnet -- dort committet das UPDATE
+    # bereits von selbst. reap_orphaned_sessions() bekommt seine Connection
+    # aber als Parameter uebergeben und darf sich auf dieses Detail des
+    # Aufrufers nicht verlassen (siehe tests/test_session_reaper.py, das
+    # bewusst eine eigene :memory:-Connection MIT Standard-isolation_level
+    # verwendet und den Fehler dadurch reproduzierbar machte).
+    await conn.commit()
+
+    logger.warning(
+        "Startup-Reaper: %d verwaiste Sitzung(en) aus vorherigem Prozess geschlossen "
+        "(end_reason=server_restart): %s",
+        len(orphaned_ids),
+        orphaned_ids,
+    )
+
+    # Ein einziges Sammel-Audit-Ereignis statt eines je Sitzung (E7) -- die
+    # Anzahl und betroffenen IDs sind das, was fuer die Nachvollziehbarkeit
+    # gebraucht wird; ein Ereignis pro Zeile waere Rauschen im Log.
+    await write_audit_event(
+        conn,
+        event_type="session_reaper_server_restart",
+        user_id=None,
+        client_ip=None,
+        details={"count": len(orphaned_ids), "session_ids": orphaned_ids},
+    )
+
+    return len(orphaned_ids)