Login: "Angemeldet bleiben" waehlbar, Multi-User-Hinweis entfernt

Bisher bekam jeder Login pauschal ein 30-Tage-Cookie. Die Checkbox ist per
Default gesetzt (unveraendertes Verhalten); wird sie abgewaehlt, gilt ein
Session-Cookie ohne Ablaufdatum (weg beim Schliessen des Browsers) und
serverseitig eine Frist von 12 Stunden Inaktivitaet - die serverseitige Frist
ist die verbindliche, ein Client kann sein Cookie manipulieren.

Bestehende Sessions behalten per Spalten-Default die 30 Tage, niemand wird
durch das Update ausgeloggt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

lib/migrate-multiuser.js

@@ -85,6 +85,12 @@ async function runMigration({ db, dbAll, dbGet, dbRun }) {
   if (!(await hasColumn('sessions', 'impersonator_id'))) {
     await exec('ALTER TABLE sessions ADD COLUMN impersonator_id INTEGER');
   }
+  // "Angemeldet bleiben": vorher galten alle Sessions 30 Tage. Bestehende
+  // Sessions behalten dieses Verhalten (Default 1) — niemand wird durch das
+  // Update ausgeloggt.
+  if (!(await hasColumn('sessions', 'dauerhaft'))) {
+    await exec('ALTER TABLE sessions ADD COLUMN dauerhaft INTEGER NOT NULL DEFAULT 1');
+  }
 
   // 2. Ensure admin user (idempotent) -----------------------------------
   let admin = await dbGet('SELECT id, password_hash FROM users WHERE username = ?', [ADMIN_USERNAME]);

server.js

@@ -238,22 +238,29 @@ function loginOk(req) {
 // Login page + form handler.
 app.get('/login', (req, res) => {
   if (req.user) return res.redirect('/');
-  res.render('login', { error: null, username: '' });
+  res.render('login', { error: null, username: '', dauerhaft: true });
 });
 
 app.post('/login', async (req, res) => {
   const { username, password: plain } = req.body || {};
+  // Bei einem Fehlversuch die Wahl des Nutzers behalten, statt sie zurückzusetzen.
+  const gewaehlt = (req.body || {}).dauerhaft === '1';
   if (!loginGate(req)) {
-    return res.status(429).render('login', { error: 'Zu viele Versuche. Bitte später erneut versuchen.', username: username || '' });
+    return res.status(429).render('login', {
+      error: 'Zu viele Versuche. Bitte später erneut versuchen.', username: username || '', dauerhaft: gewaehlt,
+    });
   }
   const user = await authenticate(username, plain);
   if (!user) {
     loginFail(req);
-    return res.status(401).render('login', { error: 'Benutzername oder Passwort falsch.', username: username || '' });
+    return res.status(401).render('login', {
+      error: 'Benutzername oder Passwort falsch.', username: username || '', dauerhaft: gewaehlt,
+    });
   }
   loginOk(req);
-  const token = await createSession(user.id);
+  // Checkbox ist standardmäßig gesetzt; abgewählt sendet der Browser das Feld gar nicht.
-  setSessionCookie(res, token);
+  const token = await createSession(user.id, gewaehlt);
+  setSessionCookie(res, token, gewaehlt);
   res.redirect('/');
 });
 
@@ -658,7 +665,15 @@ function dbRun(sql, params = []) {
 // ---------------------------------------------------------------------------
 
 const SESSION_COOKIE = 'sid';
-const SESSION_MAX_AGE = 30 * 24 * 3600; // 30 days, in seconds
+// Zwei Lebensdauern, je nachdem ob der Nutzer beim Login "Angemeldet bleiben"
+// angehakt hat (Standard):
+//   dauerhaft  -> Cookie mit Ablaufdatum, Session lebt 30 Tage ab letzter Aktivität
+//   nicht      -> Session-Cookie (weg beim Schließen des Browsers), serverseitig
+//                 zusätzlich nach 12 Stunden Inaktivität ungültig
+// Die serverseitige Frist ist die verbindliche: ein Client kann sein Cookie
+// manipulieren, die Zeile in `sessions` nicht.
+const SESSION_MAX_AGE = 30 * 24 * 3600; // 30 Tage, in Sekunden
+const SESSION_MAX_AGE_KURZ = 12 * 3600; // 12 Stunden, in Sekunden
 
 // Minimal cookie parser (no cookie-parser dependency): { name: value }.
 function parseCookies(header) {
@@ -675,9 +690,11 @@ function parseCookies(header) {
 }
 
 // Create a session row for a user and return the opaque token to store in the cookie.
-async function createSession(userId) {
+// `dauerhaft` merkt sich die Wahl aus der Login-Maske und entscheidet später über
+// die Ablauffrist (siehe loadSessionUser).
+async function createSession(userId, dauerhaft = true) {
   const token = crypto.randomBytes(32).toString('hex');
-  await dbRun('INSERT INTO sessions (token, user_id) VALUES (?, ?)', [token, userId]);
+  await dbRun('INSERT INTO sessions (token, user_id, dauerhaft) VALUES (?, ?, ?)', [token, userId, dauerhaft ? 1 : 0]);
   return token;
 }
 
@@ -700,6 +717,7 @@ async function loadSessionUser(token) {
   const row = await dbGet(
     `SELECT u.id AS id, u.username AS username, u.is_admin AS is_admin,
             s.created_at AS created_at, s.last_seen AS last_seen,
+            s.dauerhaft AS dauerhaft,
             s.impersonator_id AS impersonator_id,
             i.username AS impersonator_username, i.is_admin AS impersonator_is_admin
        FROM sessions s
@@ -711,7 +729,8 @@ async function loadSessionUser(token) {
   if (!row) return null;
   const stamp = row.last_seen || row.created_at;     // 'YYYY-MM-DD HH:MM:SS' (UTC)
   const last = new Date(stamp + 'Z');
-  if (isNaN(last.getTime()) || (Date.now() - last.getTime()) / 1000 > SESSION_MAX_AGE) {
+  const frist = row.dauerhaft ? SESSION_MAX_AGE : SESSION_MAX_AGE_KURZ;
+  if (isNaN(last.getTime()) || (Date.now() - last.getTime()) / 1000 > frist) {
     await dbRun('DELETE FROM sessions WHERE token = ?', [token]).catch(() => {});
     return null;
   }
@@ -740,11 +759,14 @@ async function authenticate(username, plain) {
 // Set/clear the session cookie on a response. The Secure flag is set whenever
 // the request arrived over TLS (Caddy terminates it; trust proxy lets us see
 // that via req.secure), so the cookie is never leaked over plain HTTP.
-function setSessionCookie(res, token) {
+// Ohne "Angemeldet bleiben" bekommt das Cookie kein maxAge: der Browser wirft es
+// beim Schließen weg. Das ist der Sinn der Abwahl — auf einem fremden Rechner soll
+// nichts zurückbleiben.
+function setSessionCookie(res, token, dauerhaft = true) {
   const secure = !!(res.req && res.req.secure);
-  res.cookie(SESSION_COOKIE, token, {
+  const opts = { httpOnly: true, sameSite: 'lax', path: '/', secure };
-    httpOnly: true, sameSite: 'lax', path: '/', maxAge: SESSION_MAX_AGE * 1000, secure,
+  if (dauerhaft) opts.maxAge = SESSION_MAX_AGE * 1000;
-  });
+  res.cookie(SESSION_COOKIE, token, opts);
 }
 function clearSessionCookie(res) {
   res.clearCookie(SESSION_COOKIE, { path: '/' });
@@ -1184,6 +1206,7 @@ async function initializeDatabase() {
       created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
       last_seen DATETIME DEFAULT CURRENT_TIMESTAMP,
       impersonator_id INTEGER,
+      dauerhaft INTEGER NOT NULL DEFAULT 1,
       FOREIGN KEY (user_id) REFERENCES users(id) ON DELETE CASCADE,
       FOREIGN KEY (impersonator_id) REFERENCES users(id) ON DELETE SET NULL
     )

views/login.ejs

@@ -35,13 +35,17 @@
                     <input id="password" name="password" type="password" required
                            class="w-full rounded-lg border border-gray-300 dark:border-gray-600 bg-white dark:bg-gray-700 px-3 py-2 text-gray-800 dark:text-white focus:ring-2 focus:ring-blue-500 focus:border-transparent outline-none" />
                 </div>
+                <label class="flex items-center gap-2 cursor-pointer select-none">
+                    <input id="dauerhaft" name="dauerhaft" type="checkbox" value="1" <%= dauerhaft ? 'checked' : '' %>
+                           class="rounded border-gray-300 dark:border-gray-600 text-blue-600 focus:ring-blue-500" />
+                    <span class="text-sm text-gray-700 dark:text-gray-300">Angemeldet bleiben</span>
+                </label>
                 <button type="submit"
                         class="w-full rounded-lg bg-blue-600 hover:bg-blue-700 transition-colors text-white font-medium py-2.5">
                     Anmelden
                 </button>
             </form>
         </div>
-        <p class="text-center text-xs text-white/70 mt-6">Multi-User-Plattform</p>
     </div>
 </body>
 </html>