# Release 2026-10-30 – d5b2285

- **Tag:** `release-2026-10-30` auf `d5b2285`
- **Ziel:** lokaler Compose-Stack (`compose.yaml`) auf dem Entwicklungsrechner
  von Julian (`AUTH_DEV_AUTOLOGIN` aktiv, Web auf `0.0.0.0:3001`). Nicht die
  Produktivinstanz cj-ki.
- **Delta:** erstes Release mit Gate, kein vorheriger `release-*`-Tag. Inhalt
  dieses Stands: Revit-Zuordnungsdialog mit Steckdosen-Höchstwert (R11–R14,
  `85cbdbf`..`fd7dcbb`), schlankeres Laufzeit-Image (`be8761a`, `d5b2285`).
- **Urteil:** Go mit Auflagen (nach Regel No-Go wegen rotem Test; Deploy von
  Julian am 2026-10-30 ausdrücklich freigegeben).
- **Datenbank:** vor dem Start gesichert,
  `data/backups/leistungsbilanz-2026-10-30T22-18-26-932Z.db` (Integrität ok,
  0 FK-Verletzungen). Migration `0018` (`projects.max_sockets_per_circuit`)
  lief beim API-Start.

## Prüfungen

| Prüfung | Ergebnis | Commit | Hinweise |
|---|---|---|---|
| secrets (gitleaks) | grün | d5b2285 | keine Funde |
| lint | grün | d5b2285 | 0 Fehler, nur bekannte Warnungen |
| test | rot | d5b2285 | 660/664; einziger Fehler `revit-xlsx-scale` Zeitbudget 15 s (gemessen 15,1–15,6 s, dreimal); auf fd7dcbb mit gleichem App-Code grün |
| sast (Semgrep) | grün | d5b2285 | keine Funde |
| audit (npm) | grün | d5b2285 | 6 moderate (drizzle-kit/esbuild, exceljs/uuid), kein High/Critical |
| mutation | grün | d5b2285 | 11/11 erkannt |
| container | grün | d5b2285 | Trivy-Image, Trivy-Config, hadolint; vorher 6 HIGH im mitgelieferten npm, behoben durch `be8761a` |
| security-review | grün | fd7dcbb | frischer Kontext, keine K/H; 2 niedrige behoben (`fd7dcbb`), 1 niedrig offen |
| zap | nicht ausgeführt | – | Instanz mit Autologin ist kein aussagekräftiges Ziel |
| fuzz | nicht ausgeführt | – | keine OpenAPI-Beschreibung |

## K-Punkte (ASVS-light)

| Punkt | Bewertung | Beleg |
|---|---|---|
| A1 Login-Pflicht | belegt | `baseline.test.ts` „jede Route verlangt Login“; Mutationen „Login-Pflicht entfernt“, „ungeschützte Route vor dem Auth-Guard“; neue Route in `tests/external-object-assignment-plan-route.test.ts` |
| A2 Identität | belegt | Baseline „gefälschte Identität wird abgelehnt“ |
| A3 Port nicht am Proxy vorbei | offen für diesen Rechner | Entwicklungsinstanz ohne Proxy, Web auf `0.0.0.0:3001` mit Autologin (THREATMODEL D2/R15: nur ohne echte Projektdaten). Für cj-ki belegt (R6) |
| B1/B2 Objektzugriff | nicht anwendbar | THREATMODEL D1 (Julian, 2026-10-17), `idorGap`; fremde IDs eines anderen Projekts abgewehrt, Route-Test „rejects a circuit list of another project“ |
| C1 SQL | belegt | nur Drizzle/gebundene Parameter, Semgrep grün |
| E1 Secrets | belegt | gitleaks grün |
| E2 CORS | belegt | Baseline „CORS lässt fremde Origins nicht zu“, Mutation |
| F1 High/Critical | belegt | `npm audit` ohne High, Container-Scan grün |

## Auflagen

1. **Zeittest `revit-xlsx-scale`:** schwankt um das 15-s-Budget. Entscheidung
   offen: Budget anpassen oder als Ausnahme in `docs/RELEASE-AUSNAHMEN.md`
   eintragen (Julian/Christian).
2. **Fehlertexte bei 400 (niedrig, Security-Review):**
   `respondWithProjectCommandError` gibt interne englische Meldungen aus.
   Ticket: fachliche Fehlerklasse, Rest generisch beantworten.
3. **Instanz mit Autologin:** auf diesem Rechner nur ohne echte Projektdaten
   betreiben oder Web an `127.0.0.1` binden.