security: server.py Restbefunde aus Review (r) – GET-Leser-Lock, Content-Length-Haertung, secrets-Token

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
2026-07-04 14:46:27 +02:00
parent c8ff850c98
commit 5ada0e5038
3 changed files with 80 additions and 0 deletions
@@ -79,6 +79,10 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
      `send_admin`-Readback) ist mit `ADMIN_LOCK` geschlossen, das NUR die
      Admin-Mutationen serialisiert – die öffentlichen Routen bleiben nebenläufig;
      headless verifiziert (2× parallel = 2× Laufzeit, öffentlicher Pfad 11 ms).
+      Zusatz (Fable-5-Review (r), 2026-07-04): drei Restbefunde gefixt –
+      `registration-status`-Leser jetzt unter ADMIN_LOCK (Truncate-Write-Race),
+      negative/übergroße `Content-Length` überall abgelehnt (kein Thread-Hänger,
+      ban/unban 4-KB-Deckel), Einladungs-Token per `secrets` statt `random`.
 - [x] **LiveKit-Token-Route server-seitig gebaut + verifiziert** (Fable-5-Review (n),
      PROGRESS.md 2026-07-04). `POST /api/livekit-token` läuft live in `server.py`
      (whoami-Auth, stdlib-HS256-Minting aus `livekit.yaml`), headless geprüft