added backup and email client

backend/src/middleware/auth.ts

@@ -1,26 +1,64 @@
 import { Response, NextFunction } from 'express';
 import jwt from 'jsonwebtoken';
+import { PrismaClient } from '@prisma/client';
 import { AuthRequest, JwtPayload } from '../types/index.js';
 
-export function authenticate(
+const prisma = new PrismaClient();
+
+export async function authenticate(
   req: AuthRequest,
   res: Response,
   next: NextFunction
-): void {
+): Promise<void> {
   const authHeader = req.headers.authorization;
 
-  if (!authHeader || !authHeader.startsWith('Bearer ')) {
+  // Token aus Header oder Query-Parameter (für Downloads)
+  let token: string | null = null;
+
+  if (authHeader && authHeader.startsWith('Bearer ')) {
+    token = authHeader.split(' ')[1];
+  } else if (req.query.token && typeof req.query.token === 'string') {
+    // Fallback für Downloads: Token als Query-Parameter
+    token = req.query.token;
+  }
+
+  if (!token) {
     res.status(401).json({ success: false, error: 'Nicht authentifiziert' });
     return;
   }
 
-  const token = authHeader.split(' ')[1];
-
   try {
     const decoded = jwt.verify(
       token,
       process.env.JWT_SECRET || 'fallback-secret'
     ) as JwtPayload;
+
+    // Prüfen ob Token durch Rechteänderung invalidiert wurde (nur für Mitarbeiter)
+    if (decoded.userId && decoded.iat) {
+      const user = await prisma.user.findUnique({
+        where: { id: decoded.userId },
+        select: { tokenInvalidatedAt: true, isActive: true },
+      });
+
+      // Benutzer nicht gefunden oder deaktiviert
+      if (!user || !user.isActive) {
+        res.status(401).json({ success: false, error: 'Benutzer nicht mehr aktiv' });
+        return;
+      }
+
+      // Token wurde vor der Invalidierung ausgestellt
+      if (user.tokenInvalidatedAt) {
+        const tokenIssuedAt = decoded.iat * 1000; // iat ist in Sekunden, Date ist in Millisekunden
+        if (tokenIssuedAt < user.tokenInvalidatedAt.getTime()) {
+          res.status(401).json({
+            success: false,
+            error: 'Ihre Berechtigungen wurden geändert. Bitte melden Sie sich erneut an.',
+          });
+          return;
+        }
+      }
+    }
+
     req.user = decoded;
     next();
   } catch {