# Import-Sicherheit und Ressourcenlimits

## Geltungsbereich

Diese Grenzen gelten für alle von der gemeinsamen Importengine unterstützten Dateien: CSV, JSON, XML, HTML/HTM, XLSX und XLS. Im empfohlenen lokalen Serverbetrieb wird jeder Parserauftrag in einem eigenen Node.js-Worker ausgeführt. Der Browser- und Tauri-Fallback verwendet dieselben Inhaltsgrenzen, besitzt aber keine gleichwertige harte Zeit- und Speicherisolation. Für den späteren Firmenbetrieb ist deshalb ausschließlich der Serverpfad vorgesehen.

## Verarbeitungsreihenfolge

1. Die API begrenzt den JSON-Request und prüft Erweiterung, Base64-Daten linear und stack-sicher sowie deklarierte Größe und tatsächliche Byteanzahl.
2. ZIP-basierte Excel-Dateien werden anhand ihres Zentralverzeichnisses geprüft, bevor SheetJS sie öffnet.
3. Dekodierte Textformate werden vor DOM-, JSON- oder CSV-Parsing auf Größen und gefährliche Konstrukte geprüft.
4. Die formatspezifischen Parser erzeugen das gemeinsame Zwischenmodell.
5. Tabellen-, Zeilen-, Spalten- und Zellgrenzen werden auf diesem Zwischenmodell erneut geprüft.
6. Erst danach folgen Erkennung, Normalisierung, Vorschau und eine ausdrücklich bestätigte, atomare Persistenz.

Limitverletzungen erzeugen strukturierte Importdiagnosen. Beim Batchimport bleibt der Fehler auf die betroffene Datei begrenzt.

## Inhaltsgrenzen pro Datei

| Ressource | Standardgrenze |
|---|---:|
| Quelldatei | 100 MiB |
| dekodierter Text | 64 Mi Zeichen |
| Tabellen | 256 |
| Zeilen je Tabelle | 250.000 |
| Zeilen insgesamt | 500.000 |
| Spalten je Tabelle | 2.000 |
| Zeichen je Zelle | 1.000.000 |
| Zeichen in allen Zellen | 64 Mi Zeichen |
| HTML-/XML-Elemente | 500.000 |
| JSON-Verschachtelung | 256 Ebenen |
| ZIP-Einträge | 20.000 |
| entpackte Größe je ZIP-Eintrag | 128 MiB |
| entpackte ZIP-Gesamtgröße | 512 MiB |
| ZIP-Kompressionsverhältnis | 200:1 |

Zusätzlich gelten maximal 50 Dateien pro Importvorschau und 140 MiB pro API-Request einschließlich Base64-Overhead.

## Parserisolation im Serverbetrieb

| Einstellung | Standard | Zulässiger Bereich |
|---|---:|---:|
| `ASSESSOR_PARSER_TIMEOUT_MS` | 30.000 ms | 1.000–300.000 ms |
| `ASSESSOR_PARSER_MAX_CONCURRENT` | 2 Worker | 1–8 |
| `ASSESSOR_PARSER_MAX_QUEUE` | 8 Aufträge | 0–100 |
| `ASSESSOR_PARSER_MAX_QUEUE_MB` | 256 MiB | 16–2.048 MiB |
| `ASSESSOR_PARSER_MEMORY_MB` | 512 MiB Old Generation | 128–2.048 MiB |

Jeder Auftrag erhält einen neuen Worker. Nach Ablauf des Zeitlimits wird dieser beendet. Workerfehler und Speicherabbrüche werden als kontrollierte Parserdiagnose zurückgegeben. Ist gleichzeitig die Auftrags- oder Bytekapazität der Warteschlange erreicht, lehnt der Server weitere Parseraufträge kontrolliert ab. Die Young Generation ist zusätzlich auf 64 MiB und der Worker-Stack auf 8 MiB begrenzt.

## Formatspezifische Härtung

HTML-Performancefix 2026-09-09: Formatadapter 1.1.1, PingCastle-Extractor
2.2.1 und CIS-CAT-Extractor 1.3.1 verwenden einen gemeinsamen linearen
Attributleser. Lange Attribute ohne Wert und lange Leerraeume duerfen keine
quadratischen Suchwiederholungen verursachen. Interne PingCastle-IDs und
Ankernamen werden fuer das jeweilige Markup einmal indiziert; Duplikate,
Reihenfolge und Offsets bleiben erhalten. Profile und fachliche Mappingvertraege
bleiben unveraendert. Der rein synthetische 3.159.338-Byte-Regressionstest
brach im alten Produktionsworker nach 30.011 ms ab und laeuft nach dem Fix
mit allen 40 Regeln und 40 verknuepften Tabellen in beobachteten 1.590 ms.
Die Messung ist kein universelles Laufzeitversprechen. Wiederholbar nach dem
Build mit `node tests/server/html-parser-stress.mjs`; der Test behaelt das
30-Sekunden-Budget und die 512/64-MiB-Heapgrenzen bei. Die regulaere Suite
prueft zusaetzlich begrenzte Zeichenarbeit, Originale und Browser-/Serverparitaet.

- HTML: `script`, `style`, eingebettete Frames/Objekte, Formulare, Medien, SVG und weitere aktive Elemente werden entfernt. Ereignisattribute und navigierende oder nachladende Attribute wie `src`, `srcdoc` und `action` werden vor der Tabellenauswertung gelöscht; `href` bleibt nur fuer sichere HTTP(S)-Beleglinks erhalten. Importierter Code wird nicht ausgeführt. Berichte oberhalb von 1 Mi Zeichen sowie DOM-Stacküberläufe wechseln automatisch in eine begrenzte, nicht rekursive Tabellenextraktion.
- XML: `DOCTYPE`, `ENTITY`, `SYSTEM` und `PUBLIC` werden vor dem DOM-Parser abgewiesen. Externe Entitäten und lokale Dateireferenzen werden dadurch nicht aufgelöst.
- Excel: Verschlüsselte ZIP-Einträge, nicht zugelassene Kompressionsverfahren, ausbrechende Archivpfade, ZIP64 und eingebettete `vbaProject.bin`-Inhalte werden abgewiesen. SheetJS läuft ohne Formel- oder VBA-Auswertung.
- CSV-Export: Intern bleiben Originalwerte unverändert. Spreadsheet-orientierte Downloads, Aktionslisten und kopierte Tabellen neutralisieren führende `=`, `+`, `-` oder `@`, damit ein späteres Öffnen keine Formel aktiviert.
- ZIP: Eintragsanzahl, Einzel- und Gesamtgröße sowie Kompressionsverhältnis werden ausschließlich aus dem Zentralverzeichnis vor dem Entpacken geprüft.

## PurpleKnight-Vollständigkeit

- Native HTML-Zuweisungen werden über den begrenzten statischen Datenleser
  verarbeitet, nicht evaluiert: maximal 128 Verschachtelungsebenen,
  1.000.000 Werte und 16 Mi Zeichen je Datenobjekt, 1.000.000 Zeichen je String
  sowie 250.000 Indikatoren je Bericht. Globale Datei-/Workergrenzen gelten zusätzlich.
- Beschädigte Strukturen und fehlende native IDs scheitern explizit; ein
  angekündigter Ergebnisbestand darf nicht erfolgreich auf null reduziert werden.
  Mehrfache Zuweisung derselben Berichtswurzel oder desselben Datenobjekts ist
  ein Fehler. Wiederholte Regel-IDs erhalten eine Warnung und bleiben als
  getrennte Vorkommen erhalten.
- Deklarierte Summen, Statuszahlen, Kategorieverweise und Detailanzahlen werden
  gegen die gelesenen Einzeleinträge geprüft. Widersprüche markieren den Import
  als partiell; Originalzähler und vollständige Einträge bleiben unverändert.
- Explizite Null-Details sind bei null Ergebnissen gültig. Zeitstempel werden
  nicht zur Nachahmung eines Excel-Anzeigeformats auf Minuten gekürzt.
- Workbook-Summary, Indikatorentabelle und Ergebnisblätter werden gemeinsam
  geprüft. CSV-Dateiname allein reicht weiterhin nicht zur Werkzeugfreigabe.

## PingCastle-Strukturtreue

Ab Profil 1.5.0 / Extractor 2.2.0 bewahrt der XML-Kontext alle Attribute als
dekodierte Originalwerte mit `/@Name`-Quellpfad und ausdrücklich leere Blätter
als `empty`. Namespace, Nullwert, `0`, `false` und leere Zeichenkette werden
nicht gleichgesetzt. Die vorhandene Attribut-Anzeigezeichenkette bleibt erhalten;
ältere Adapter ohne strukturierte Attribute erhalten eine Diagnose statt einer
mehrdeutigen Rückkonvertierung. Der originale Dateitext bleibt unverändert.

HTML-Formatadapter 1.1.1 und XML-Formatadapter 1.1.0 liefern diese Struktur beziehungsweise eine
attributgrenzenbewusste HTML-Extraktion. Spitze Klammern in zitierten Attributen
werden nur für die inerte lexikalische Auswertung geschützt. Skripte werden
nicht ausgewertet. Attributbereinigung arbeitet auf vollständigen Attributen,
nicht auf scheinbaren `src`-/`href`-Angaben innerhalb eines Tooltips. Ein
abgeschnittener End-Tag in einem begrenzten Textausschnitt wird nicht als
Zellinhalt übernommen; ein nicht abgeschlossenes zitiertes Attribut im
vollständigen Dokument führt zu einer Diagnose.

Fehlende native Rule IDs werden abgewiesen, doppelte IDs mit einer Warnung
gemeldet. Die bestehende erste Darstellung bleibt das Finding. HTML-Trefferzahlen
in den Kategorieüberschriften werden gegen eindeutige Regeln abgeglichen;
Kataloggrößen sind keine Ergebniszahlen. Abweichungen oder ungültige Zähler
markieren die Verarbeitung als `partial`, ohne gültige Regeln zu entfernen.
Angekündigte Treffer ohne lesbare Ergebnisse scheitern; ausdrücklich deklarierte
Nulltreffer bleiben zulässig. Originalzähler stehen in einem eigenen
Berichtsabschnitt, nicht in der Assetzählung. Fehlende Zähler erlauben keinen
belegten Vollständigkeitsanspruch. XML-Semantikmapping und Control-Path-JSON
bleiben separate Arbeitspakete. Bestehende Importe werden nicht geändert.

## Statische Maester-Berichtsdaten

Der Maester-HTML-Extractor 1.1.0 unterstützt JSON und statische Objektliterale in
Script-Zuweisungen sowie JSON-Datenblöcken. Der Locator überspringt Zeichenketten,
Kommentare und übliche Regex-Literale; er ist kein allgemeiner JavaScript-Parser.
Der anschließende Datenparser erlaubt keine Codeausführung und keine dynamischen
Ausdrücke. Insbesondere werden Template-Interpolation, Aufrufe, Getter, Spread,
berechnete und doppelte Schlüssel abgewiesen. Unbekannte statische Datenfelder
bleiben mit ihrem Objektpfad erhalten.

Pro Datenobjekt gelten 16 Mi Zeichen, 128 Verschachtelungsebenen, eine Million
Werte und eine Million Zeichen pro Zeichenkette. Pro Datei werden höchstens 32
potenzielle Berichtsobjekte geprüft und 250.000 Tests akzeptiert. Eine
Grenzverletzung oder ein beschädigter Test führt zum Fehler, nicht zur stillen
Kürzung. Mehrere konkurrierende Berichtswurzeln werden abgewiesen; ein expliziter
`Tenants`-Container erhält seine getrennten Mandantenpfade. Deklarierte Summen
werden gegen Einzeltests geprüft. Abweichungen bleiben Warnungen mit beiden
Zählwerten, ohne die Quelle oder die Ergebnismenge zu verändern.

## Vorschau, Persistenz und Protokollierung

Nicht bestätigte Vorschauen liegen höchstens 15 Minuten im Arbeitsspeicher. Der Cache ist auf 10 Batches und 256 MiB Quelldaten begrenzt. Abgelaufene oder verdrängte Vorschauen können nicht persistiert werden. Beim Abschluss werden IDs, SHA-256, Dateiname, Größe und Änderungszeit gegen die serverseitige Vorschau geprüft.

Die Importpipeline schreibt keine Quelldateien oder Parser-Zwischendateien in temporäre Verzeichnisse. PostgreSQL-Zugriffe verwenden Parameter; ein bestätigter Batch wird in einer Transaktion gespeichert.

Das aktuelle Audit-Log enthält nur Zeitpunkt, Request-ID, Methode, Pfad, Status, Dauer und gegebenenfalls einen Fehlercode. Datei- und Requestinhalte werden nicht protokolliert. Das Log liegt derzeit nur im Prozessspeicher; dauerhafte zentrale Protokollierung, Zugriffsschutz und Aufbewahrung gehören zu Phase 14.

## Verifikation

Die automatisierten Sicherheits- und Lasttests prüfen unter anderem Größenfehler, ZIP-Bomb-Metadaten, verschlüsselte/VBA-haltige Archive, XML-Entitäten, tiefe JSON-Strukturen, Nullbytes, aktives HTML, Parser-Timeout, Warteschlangenkapazität, Vorschauablauf, Formel-Injection, einen CSV-Import mit 30.000 Datensätzen, ein Zwischenmodell mit 140.000 Zeilen und einen PingCastle-ähnlichen HTML-Bericht mit 5,9 MB. Der PostgreSQL-Integrationstest prüft den tatsächlichen Transaktions- und Persistenzpfad.