security: LiveKit-Token vom Server statt Secret in der App

Die App signierte LiveKit-Tokens selbst – dafür steckte das SFU-Secret im
App-Code (jeder mit der APK konnte sich Tokens für beliebige Räume und
Identitäten ausstellen). Jetzt holt die App das Token von der bereits
vorhandenen Server-Route /api/livekit-token (whoami-Prüfung, Identität =
geprüfte Matrix-ID). Secret und JWT-Signieren sind aus dem Client entfernt.

- Lesbare Fehlermeldungen (offline, 401, Serverfehler) statt stiller Fehler.
- Gruppenanruf aus dem Chat-Kopf übergibt jetzt den Matrix-Client.
- Tests: Unit-Test mit Mock-HTTP + echter LiveKit-Beitritt (Testkonto).
- Offen: Handy-Anruftest; danach Secret-Rotation durch Bernd (Doku).

Co-Authored-By: Claude Opus 5.5 <[email protected]>

This commit is contained in:

Bernd Steckmeister

2026-10-07 22:12:15 +02:00

co-authored by

Claude Opus 5.5

parent ae6f651f4c

commit 756486d1fe

8 changed files with 283 additions and 46 deletions

									
										pubspec.yaml
									
		-1
	
												View File
												
				@@ -26,7 +26,6 @@ dependencies:

				  livekit_client: ^2.4.0

				  flutter_webrtc: ^1.4.1

				  webrtc_interface: ^1.5.1

				  dart_jsonwebtoken: ^3.3.1

				  # State management & routing

				  flutter_riverpod: ^2.6.1