oicd/docs/TODO.md

OIDC Server - TODO & Roadmap

✅ Bereits implementiert

Core OIDC Funktionalität

• ✅ Authorization Code Flow (vollständig implementiert)
• ✅ Discovery Endpoint (/.well-known/openid-configuration)
• ✅ /authorize - Authorization Endpoint
• ✅ /token - Token Exchange
• ✅ /userinfo - User Info Endpoint
• ✅ JWT ID Tokens (signiert mit RS256)
• ✅ Access Tokens mit Validation
• ✅ Authorization Codes mit TTL

User Management

• ✅ User Registration (Self-Service)
• ✅ Password Change (Self-Service)
• ✅ Bcrypt Password Hashing
• ✅ User Login mit Session
• ✅ User Dashboard

Admin Features

• ✅ Admin Login (separate Session)
• ✅ CRUD für User-Verwaltung
• ✅ Rollen-System (user, admin, moderator, readonly)
• ✅ Permissions-System (JSON Array, comma-separated UI)
• ✅ User Activate/Deactivate
• ✅ (NEU) Multi-Client Support - OIDC-Clients können über das Admin-Panel verwaltet werden.

Security & Data

• ✅ SQLite Database (PostgreSQL-ready)
• ✅ Session-based Authentication
• ✅ CSRF Protection (state parameter)
• ✅ Sichere Landing Page (keine Secrets exposed)
• ✅ (NEU) Rate Limiting - Schutz vor Brute-Force auf Login/Token Endpoints
• ✅ (NEU) Audit Logging - Loggt Logins und Admin-Aktionen in die Datenbank
• ✅ (NEU) Asymmetric Token Signing (RS256) - ID Tokens werden mit RS256 signiert und der Public Key per /jwks Endpoint bereitgestellt.

DevOps/Production

• ✅ (NEU) Environment Configuration - .env File Support für Secrets (Development/Production)
• ✅ (NEU) Health Check Endpoint - /health für Monitoring und Load Balancer
• ✅ (NEU) Docker Support - Dockerfile und docker-compose.yml für einfaches Deployment
• ✅ (NEU) Production WSGI Server - Gunicorn wird im Docker Container verwendet
• ✅ (NEU) Database Migrations - Schema-Änderungen werden mit Flask-Migrate (Alembic) verwaltet.

UI/UX

• ✅ Modernes Dark Mode Design
• ✅ Responsive Layout
• ✅ Alle Templates mit Theme Toggle

---

🚀 TODO - Nächste Features

Security Improvements (Priorität: HOCH)

2. Token Refresh Flow

Status: ⏳ Offen Priorität: Hoch Beschreibung:

• Refresh Tokens für längere Sessions
• User muss nicht alle X Minuten neu einloggen Tasks:
• RefreshToken Model in DB erstellen
• /token Endpoint erweitern: grant_type=refresh_token
• Refresh Token Rotation implementieren
• Token Expiry konfigurierbar machen

4. HTTPS Enforcement

Status: ⏳ Offen Priorität: Hoch (für Production) Beschreibung:

• Aktuell nur HTTP (Development)
• Production: SSL/TLS zwingend Tasks:
• SSL Certificates (Let's Encrypt)
• Nginx/Traefik Reverse Proxy Setup
• HTTPS Redirect erzwingen
• Secure Cookie Flags setzen

5. PKCE Support

Status: ⏳ Offen Priorität: Mittel Beschreibung:

• Proof Key for Code Exchange
• Wichtig für SPAs und Mobile Apps ohne Client Secret Tasks:
• PKCE Parameter in /authorize akzeptieren (code_challenge, code_challenge_method)
• Code Verifier Validation in /token
• S256 und plain methods unterstützen

---

Features (Priorität: MITTEL)

7. Scope Management

Status: ⏳ Offen Priorität: Mittel Beschreibung:

• Aktuell: Scopes werden akzeptiert aber nicht enforced
• Bessere Scope → Permission Mapping Tasks:
• Scope Definition System
• Scope Validation gegen User Permissions
• Consent Screen für Scopes
• Scope-basierte Token Claims

8. Email Verification

Status: ⏳ Offen Priorität: Mittel Beschreibung:

• Email Verification bei Registration
• Password Reset per Email Tasks:
• SMTP Konfiguration
• Email Verification Token System
• Email Templates (Verification, Password Reset)
• /verify-email und /reset-password Endpoints

9. 2FA/MFA

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• Two-Factor Authentication Tasks:
• TOTP Support (Google Authenticator, Authy)
• QR Code Generation für TOTP Setup
• Backup Codes generieren
• 2FA Enforcement für Admin Accounts

---

Admin Features (Priorität: MITTEL)

12. Token Management

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• Aktive Tokens anzeigen und verwalten Tasks:
• Token List View (Access + Refresh Tokens)
• Token Revocation UI
• Token Lifetime Configuration
• "Revoke all tokens for user" Funktion

13. Bulk Operations

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• Bulk User Import/Management Tasks:.
• CSV Import für Users
• Bulk Permission Assignment
• User Groups erstellen
• Group-based Permissions

---

---

User Experience (Priorität: NIEDRIG)

19. Consent Screen

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• User muss Scopes bestätigen
• "Diese App möchte Zugriff auf..." Tasks:
• Consent Screen Template
• Scope Descriptions
• Remember Consent per Client
• Revoke Consent UI

20. Session Management für User

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• Aktive Sessions anzeigen Tasks:
• Session List View
• "Logout from all devices"
• Session Details (IP, Location, Device)
• Suspicious Login Warnings

21. Internationalization (i18n)

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• Mehrsprachige UI
• Aktuell: Mix aus Deutsch/Englisch Tasks:
• Flask-Babel Integration
• Deutsche Übersetzungen
• Englische Übersetzungen
• Language Switcher in UI

22. Profile Picture Support

Status: ⏳ Offen Priorität: Niedrig Beschreibung:

• Avatar Upload Tasks:
• Avatar Upload im User Dashboard
• Image Resizing/Cropping
• Gravatar Fallback
• Avatar in ID Token (picture claim)

---

Letzte Aktualisierung: 2025-11-27