Rebuild profile router as secure recoverable v2

2026-08-20 13:41:00 +02:00
parent bdd6c08643
commit fd4a3055e8
18 changed files with 1162 additions and 129 deletions
@@ -42,6 +42,20 @@ Empfohlene Trennung:
 - Firewall erlaubt nur bekannte Quellnetze.
 - Externe Suche erhält nur die tatsächliche Suchanfrage, keine Chat-Historie.

+## Router-Grenze
+
+- Alle fachlichen Endpunkte verlangen einen mindestens 32 Zeichen langen,
+  zufälligen Router-Key. Der Dienst startet ohne gültigen Key nicht.
+- `/health` und `/ready` sind die einzigen anonymen Endpunkte und geben nur
+  groben Betriebszustand aus.
+- Authentifizierungsheader werden niemals an llama.cpp weitergereicht.
+- Remote-Bild-URLs sind standardmäßig gesperrt. Data-URLs werden auf MIME-Typ,
+  Base64-Gültigkeit und 20 MiB Maximalgröße geprüft.
+- Die Zahl gleichzeitiger Requests ist begrenzt; große Uploads sind global
+  begrenzt und generierte Bilder werden nach Alter, Anzahl und Größe bereinigt.
+- Crash-Recovery beendet keine PID nur aufgrund einer Zahl, sondern verlangt
+  zusätzlich einen erwarteten Prozessmarker in `/proc/<pid>/cmdline`.
+
 ## Schreibaktionen

 Jede destruktive oder persistente Aktion verwendet: