fix: document webapp limits and release provenance

Author: lukisch

CHANGELOG.md

@@ -6,6 +6,7 @@ Format basiert auf [Keep a Changelog](https://keepachangelog.com/de/1.1.0/).
 ## [Unreleased]
 
 ### Build / Packaging
+- `releases/v3.0.0/PROVENANCE.md` dokumentiert den tatsächlichen lokalen Artefaktstand. Das historische v3.0.0-Bundle ist wegen fehlender Commitkette und einer vom gespeicherten Wert abweichenden EXE-SHA-256 bis zu einem reproduzierbaren Neubuild gesperrt; es wurde weder gelöscht noch durch eine neue Version ersetzt.
 - `build_exe.bat` ergänzt einen reproduzierbaren PyInstaller-Build mit lokalem Workpath (lokales Build-Verzeichnis), zentralem Build-Exclude-Scanner und Kopie der fertigen EXE nach `dist\MethodenAnalyser.exe` sowie `MethodenAnalyser.exe`.
 - `START.bat` startet unter Windows bevorzugt die gebaute EXE und fällt erst danach auf den Python-Start zurück.
 - `MethodenAnalyser.spec` nutzt relative Projektpfade, bündelt Icon und `locales/` und deaktiviert UPX.
@@ -42,6 +43,8 @@ Format basiert auf [Keep a Changelog](https://keepachangelog.com/de/1.1.0/).
 - `releases/windowsstore/store_settings.json`, `BUILD.md` und die DE/EN-Store-Listings sind auf den realen Projektstand, aktuelle GitHub-URLs und den dokumentierten Pretest-Workflow synchronisiert.
 
 ### Hinzugefügt / Added
+- `tests/test_webapp_server.py` sichert jetzt die HTTP-Request-Grenze (413), ungültiges Base64, beschädigte und Python-lose ZIPs, Einzeldatei-/Gesamtgrößen, Dateianzahl sowie Windows-Backslash-Traversal ab.
+- Die lokale Web-Runtime weist für den bewussten LAN-Testmodus auf lokales HTTP ohne Authentifizierung/TLS hin. WEBAPP, README-Paar, Portierungsplan und Privacy-Policy halten den Loopback-Standard, die vertrauenswürdige-LAN-Grenze und den Nicht-Ziel-Status der Mobile-Produktlinie konsistent fest.
 - GitHub-Actions-Smoke-Matrix prüft den Quellstand jetzt auf Windows (Python 3.10-3.12) sowie zusätzlich auf Ubuntu und macOS (Python 3.11), inklusive Compile-, Tkinter-Import- und `unittest`-Smoke.
 - Lokaler Web/PWA-Companion unter `webapp/` mit Snippet-/Einzeldatei-Analyse über den bestehenden Python-Analyse-Kern.
 - Web/PWA-Companion kann jetzt auch kleine ZIP-Archive mit `.py`-Dateien lokal hochladen, temporär entpacken und als Mini-Projekt analysieren.

PRIVACY_POLICY.md

@@ -1,6 +1,6 @@
 # Privacy Policy — MethodenAnalyser
 
-**Last updated:** March 13, 2026
+**Last updated:** July 22, 2026
 **Publisher:** Geiger
 
 ## Overview
@@ -21,6 +21,10 @@ The application analyzes Python source files that you choose to open or scan. Al
 
 MethodenAnalyser does not connect to any external services or the internet. It is a fully offline application.
 
+## Optional Local Web Helper
+
+The optional browser helper listens on `127.0.0.1` by default and processes uploaded code only in the local Python process. An explicit `--host 0.0.0.0` start is a technical LAN test mode, not a cloud service or mobile product. It uses local HTTP without authentication or TLS; use it only on a trusted private network and do not submit sensitive code from an untrusted network.
+
 ## Local Storage
 
 The application may store user preferences (e.g., window size, last opened directory) locally on your device. No data is synced to external servers.
@@ -43,7 +47,7 @@ For questions about this privacy policy:
 
 # Datenschutzrichtlinie — MethodenAnalyser
 
-**Zuletzt aktualisiert:** 13. März 2026
+**Zuletzt aktualisiert:** 22. Juli 2026
 **Herausgeber:** Geiger
 
 ## Überblick
@@ -64,6 +68,10 @@ Die Anwendung analysiert Python-Quelldateien, die Sie öffnen oder scannen möch
 
 MethodenAnalyser stellt keine Verbindung zu externen Diensten oder dem Internet her. Es handelt sich um eine vollständig offline nutzbare Anwendung.
 
+## Optionaler lokaler Web-Hilfsmodus
+
+Der optionale Browser-Hilfsmodus bindet standardmäßig an `127.0.0.1` und verarbeitet hochgeladenen Code nur im lokalen Python-Prozess. Ein expliziter Start mit `--host 0.0.0.0` ist ein technischer LAN-Testmodus, kein Cloud-Dienst und keine Mobile-Produktlinie. Er nutzt lokales HTTP ohne Authentifizierung oder TLS; deshalb nur in einem vertrauenswürdigen privaten Netz verwenden und keinen sensitiven Code aus einem fremden/offenen Netz übermitteln.
+
 ## Lokale Speicherung
 
 Die Anwendung kann Benutzereinstellungen (z. B. Fenstergröße, zuletzt geöffnetes Verzeichnis) lokal auf Ihrem Gerät speichern. Es werden keine Daten mit externen Servern synchronisiert.

README.md

@@ -114,7 +114,7 @@ Or double-click `START_WEBAPP.bat` on Windows. The server runs at `http://127.0.
     ```bash
     python webapp/server.py --host 0.0.0.0 --port 8765
     ```
-    For further details, consult [WEBAPP.md](WEBAPP.md).
+    This deliberate LAN test mode uses local HTTP without authentication or TLS. Use it only on a trusted private network; it is neither a cloud service nor a mobile product line. For further details, consult [WEBAPP.md](WEBAPP.md).
 
 ### 5. macOS and Linux Source Verification
 While the GUI is optimized for Windows (using Tkinter), the codebase is fully verified to run from source on macOS and Linux. You can run unit tests and compile checks with:
@@ -172,7 +172,7 @@ WINDOW_GEOMETRY = "1200x700"  # Desktop window dimensions
 
 ## Data & Privacy
 
-MethodenAnalyser operates 100% locally. Your Python code, local file paths, and analysis results are never sent over the internet. There are no analytics, cloud integrations, telemetry features, or third-party tracking scripts.
+MethodenAnalyser operates 100% locally. Your Python code, local file paths, and analysis results are never sent over the internet. There are no analytics, cloud integrations, telemetry features, or third-party tracking scripts. The optional web helper binds to `127.0.0.1` by default. Its explicit `--host 0.0.0.0` LAN test mode has no authentication or TLS and must be used only in a trusted private network.
 
 Build, packaging, and sign-related files are configured in `.gitignore` to stay outside of the version control system.
 

README_de.md

@@ -115,6 +115,7 @@ python webapp/server.py --host 0.0.0.0 --port 8765
 ```
 
 Die lokale Weboberfläche kann LAN-URLs anzeigen, falls der Server bewusst im Netzwerk freigegeben wird. Das bleibt ein technischer Testpfad, kein geplantes Android-/iOS-Produkt.
+Dieser bewusste LAN-Testmodus nutzt lokales HTTP ohne Authentifizierung oder TLS und gehört ausschließlich in ein vertrauenswürdiges privates Netz. Er ist weder ein Cloud-Dienst noch eine Mobile-Produktlinie. Details stehen in [WEBAPP.md](WEBAPP.md).
 Zusätzlich bündelt die **PWA-Testkarte** Install-Status, Service-Worker-, Speicher- und Viewport-Diagnostik in einer kopierbaren Kurzfassung für lokale Browser-Smokes.
 
 ### macOS- und Linux-Smoke
@@ -171,7 +172,7 @@ WINDOW_GEOMETRY = "1200x700"  # Fenstergröße
 
 ## Datenschutz / Privacy
 
-MethodenAnalyser arbeitet vollständig lokal. Der ausgewählte Python-Code, Dateipfade und Analyseergebnisse werden nicht an den Entwickler oder externe Dienste übertragen.
+MethodenAnalyser arbeitet vollständig lokal. Der ausgewählte Python-Code, Dateipfade und Analyseergebnisse werden nicht an den Entwickler oder externe Dienste übertragen. Der optionale Web-Hilfsmodus bindet standardmäßig an `127.0.0.1`; sein expliziter LAN-Testmodus `--host 0.0.0.0` hat keine Authentifizierung und kein TLS und darf nur in einem vertrauenswürdigen privaten Netz verwendet werden.
 
 Release-Artefakte wie EXE-Dateien, lokale Builds und Store-Pakete bleiben außerhalb des Git-Repositorys und gehören in lokale `releases/`-Ordner oder GitHub Releases.
 

RELEASES.md

@@ -1,7 +1,7 @@
 # RELEASES - MethodenAnalyser
 
-Stand: 2026-05-01
-Aktuelles lokales EXE-Bundle: `v3.0.0`
+Stand: 2026-07-22
+Direktdownload-Bundle `v3.0.0`: **gesperrter Legacy-Stand, nicht aktuell freigegeben**.
 
 ## Struktur
 
@@ -16,15 +16,23 @@ releases/
     `-- ...
 ```
 
-## Aktueller Stand
+## Aktueller Stand und Abgrenzung
 
-- `dist/MethodenAnalyser.exe` ist der frische lokale Build aus dem aktuellen Quellstand.
-- `releases/v3.0.0/` enthält die lokalen GitHub-/Direktdownload-Artefakte.
+- `releases/v3.0.0/` enthält historische lokale GitHub-/Direktdownload-Artefakte. Ihr genauer Auditstand steht in [`releases/v3.0.0/PROVENANCE.md`](releases/v3.0.0/PROVENANCE.md).
+- `dist/MethodenAnalyser.exe` ist derzeit nicht vorhanden. Ein Root-EXE oder ein historisches v3.0.0-EXE darf deshalb nicht als frischer `dist`-Build ausgegeben werden.
+- Das v3.0.0-EXE weicht von der gespeicherten SHA-256-Zeile ab; Source-ZIP und Changelog haben keinen belegten Quellcommit. Bis zu einem sauberen Neubuild mit Commit- und Hashnachweis ist das Bundle nicht für Direktdownload oder Promotion freigegeben.
 - `releases/windowsstore/` bleibt getrennt für den MSIX-/Store-Workflow.
+- Das MSIX-/WACK-Gate ist ein eigener Ablauf und ersetzt keine Direktdownload-Provenienz.
 - Der Ordner `releases/` ist absichtlich per `.gitignore` ausgeschlossen. Verteilbare Binärartefakte gehören in lokale Release-Ordner oder GitHub Releases, nicht in den Git-Quellbaum.
 
+## Nächster freigegebener Buildablauf
+
+1. Einen konkreten, geprüften Quellcommit und die Buildumgebung festhalten.
+2. EXE, Source-ZIP und Changelog aus genau diesem Stand erzeugen und ihren Start-/Inhaltscheck dokumentieren.
+3. Erst dann `SHA256SUMS.txt` ausschließlich aus diesem vollständigen Artefaktsatz erzeugen, gegenlesen und eine neue Aktualitätsentscheidung treffen.
+4. Store/MSIX nur als separaten, zusätzlich zu belegenden Gate-Schritt behandeln.
+
 ## Letzte Pflege
 
-- 2026-04-29: Lokales EXE-Bundle, Source-ZIP und Checksummen aus dem aktuellen Arbeitsstand aktualisiert.
+- 2026-07-22: Provenienz-Audit: v3.0.0 wegen fehlender Commit-Kette und abweichender EXE-Checksumme gesperrt; keine Dateien gelöscht, keine neue Version oder neue Checksumme erzeugt.
 - 2026-05-01: Release-Dokumentation an die GitHub-Policy angepasst: Artefakte bleiben lokal oder in GitHub Releases.
-- 2026-05-16: GitHub-Hygiene geprüft; Build-, Cache-, Coverage- und Signierartefakte bleiben ignoriert, verteilbare Dateien weiterhin außerhalb des Quellbaums.

WEBAPP.md

@@ -1,6 +1,6 @@
 # MethodenAnalyser Lokale Weboberfläche
 
-Stand: 2026-05-24
+Stand: 2026-07-22
 
 Die lokale Weboberfläche ist ein Hilfs-/Demo-Modus für schnelle Snippet-, Einzeldatei- und kleine ZIP-Analysen auf demselben Rechner. Sie ersetzt nicht die Desktop-App für ganze Projektordner, ist keine Companion-App und keine eigene Mobile-Produktlinie. Sie nutzt denselben Analysekern und dasselbe JSON-Format wie CLI und GUI.
 
@@ -30,7 +30,7 @@ Für Android-/iOS-Tests im selben WLAN:
 python webapp/server.py --host 0.0.0.0 --port 8765
 ```
 
-Die Oberfläche kann dann erkannte LAN-URLs anzeigen. Das ist nur ein technischer Testpfad für lokale Browser-Smokes, kein geplanter Android-/iOS-Releasepfad.
+Die Oberfläche kann dann erkannte LAN-URLs anzeigen. Das ist nur ein technischer Testpfad für lokale Browser-Smokes, kein geplanter Android-/iOS-Releasepfad. Der LAN-Modus nutzt bewusst nur lokales HTTP: Es gibt keine Authentifizierung und kein TLS. Deshalb nur in einem vertrauenswürdigen, eigenen Netz starten und keinen Quellcode oder Bericht über fremde/offene Netze senden.
 
 ## Funktionen
 
@@ -83,12 +83,14 @@ Response:
 }
 ```
 
-## Datenschutz
+## Datenschutz und LAN-Grenze
 
-Der Web Companion läuft auf `127.0.0.1`. Code wird an den lokalen Python-Prozess gesendet, nicht an externe Dienste. Es gibt keine Telemetrie, keine Cloud-Synchronisierung und keine externen CDN-Abhängigkeiten.
+Der Standardstart bindet ausschließlich an `127.0.0.1`; damit ist die Oberfläche nur auf diesem Rechner erreichbar. Code wird an den lokalen Python-Prozess gesendet, nicht an externe Dienste. Es gibt keine Telemetrie, keine Cloud-Synchronisierung und keine externen CDN-Abhängigkeiten.
+
+`--host 0.0.0.0` oder eine andere LAN-Adresse ist eine bewusste Ausnahme für einen technischen Test im selben vertrauenswürdigen Netz. Der Server bietet dabei weder Authentifizierung noch TLS und ist kein Internet-Deployment. Alle Clients, die die LAN-URL erreichen, können die lokale Analyse-API verwenden; keine sensitiven Dateien oder Berichte über ein fremdes/offenes Netz übertragen.
 
 ## Grenzen
 
 - Große Projektordner bleiben Aufgabe der Desktop-/CLI-Version.
 - ZIP-Uploads sind bewusst klein gehalten: nur `.py`-Dateien, begrenzte Archivgröße und keine beliebigen Binärdateien.
-- Android und iOS sollen über dieselbe PWA-Linie getestet werden; native Apps sind weiterhin kein Ziel.
+- Android und iOS können nur über diesen technischen PWA-/Browser-Smoke im selben WLAN geprüft werden; native Apps und eine Mobile-Produktlinie sind weiterhin Nicht-Ziele.

tests/test_webapp_server.py

@@ -1,6 +1,7 @@
 import base64
 import io
 import json
+import tempfile
 import threading
 import unittest
 import urllib.error
@@ -10,24 +11,32 @@
 from pathlib import Path
 from urllib.request import urlopen
 
-from webapp.server import MethodenAnalyserPwaHandler, analyze_payload, build_runtime_info
+from webapp.server import (
+    MAX_REQUEST_SIZE,
+    MAX_ZIP_FILE_COUNT,
+    MAX_ZIP_MEMBER_SIZE,
+    MethodenAnalyserPwaHandler,
+    _extract_python_zip,
+    analyze_payload,
+    build_runtime_info,
+)
 
 
 PROJECT_ROOT = Path(__file__).resolve().parents[1]
 
 
+def make_zip_payload(files: dict[str, str | bytes], filename: str = "sample.zip") -> dict[str, str]:
+    buffer = io.BytesIO()
+    with zipfile.ZipFile(buffer, "w", compression=zipfile.ZIP_DEFLATED) as archive:
+        for path, content in files.items():
+            archive.writestr(path, content)
+    encoded = base64.b64encode(buffer.getvalue()).decode("ascii")
+    return {"source_kind": "zip", "filename": filename, "zip_base64": encoded}
+
+
 class MethodenAnalyserWebappServerTests(unittest.TestCase):
     def make_zip_payload(self, files: dict[str, str], filename: str = "sample.zip") -> dict[str, str]:
-        buffer = io.BytesIO()
-        with zipfile.ZipFile(buffer, "w", compression=zipfile.ZIP_DEFLATED) as archive:
-            for path, content in files.items():
-                archive.writestr(path, content)
-        encoded = base64.b64encode(buffer.getvalue()).decode("ascii")
-        return {
-            "source_kind": "zip",
-            "filename": filename,
-            "zip_base64": encoded,
-        }
+        return make_zip_payload(files, filename)
 
     def test_snippet_payload_returns_json_report(self) -> None:
         payload = analyze_payload(
@@ -99,6 +108,7 @@ def test_runtime_info_for_local_only_server(self) -> None:
         info = build_runtime_info("127.0.0.1", 8765, address_supplier=lambda: ["192.168.0.5"])
 
         self.assertTrue(info["local_only"])
+        self.assertFalse(info["lan_enabled"])
         self.assertFalse(info["candidate_urls"])
         self.assertEqual(info["mobile_command"], "python webapp/server.py --host 0.0.0.0 --port 8765")
 
@@ -110,13 +120,49 @@ def test_runtime_info_for_wildcard_server_includes_lan_urls(self) -> None:
         )
 
         self.assertFalse(info["local_only"])
+        self.assertTrue(info["lan_enabled"])
         self.assertTrue(info["mobile_ready"])
+        self.assertIn("keine Authentifizierung", info["mobile_notes"]["network"])
         self.assertEqual(
             info["candidate_urls"],
             ["http://10.0.0.8:8765/", "http://192.168.0.5:8765/"],
         )
 
 
+class MethodenAnalyserZipBoundaryTests(unittest.TestCase):
+    def test_rejects_invalid_base64_and_corrupt_zip(self) -> None:
+        with self.assertRaisesRegex(ValueError, "gültiges Base64"):
+            analyze_payload({"source_kind": "zip", "zip_base64": "%%%"})
+        with self.assertRaises(zipfile.BadZipFile):
+            analyze_payload({"source_kind": "zip", "zip_base64": base64.b64encode(b"not-a-zip").decode("ascii")})
+
+    def test_rejects_archive_without_python_files(self) -> None:
+        with self.assertRaisesRegex(ValueError, "keine Python-Dateien"):
+            analyze_payload(make_zip_payload({"README.txt": "keine Quelle"}))
+
+    def test_rejects_member_total_and_file_count_limits(self) -> None:
+        with self.assertRaisesRegex(ValueError, "größer als 512 KB"):
+            analyze_payload(make_zip_payload({"large.py": b"x" * (MAX_ZIP_MEMBER_SIZE + 1)}))
+
+        total_files = {f"part_{index}.py": b"x" * MAX_ZIP_MEMBER_SIZE for index in range(4)}
+        total_files["tail.py"] = b"x"
+        with self.assertRaisesRegex(ValueError, "mehr als 2048 KB"):
+            analyze_payload(make_zip_payload(total_files))
+
+        too_many_files = {f"module_{index}.py": "pass\n" for index in range(MAX_ZIP_FILE_COUNT + 1)}
+        with self.assertRaisesRegex(ValueError, "mehr als 64 Python-Dateien"):
+            analyze_payload(make_zip_payload(too_many_files))
+
+    def test_rejects_windows_traversal_without_extracting_outside_root(self) -> None:
+        payload = make_zip_payload({r"..\escape.py": "print('no')\n"})
+        zip_bytes = base64.b64decode(payload["zip_base64"])
+        with tempfile.TemporaryDirectory() as temp_dir:
+            temp_root = Path(temp_dir) / "extract-root"
+            with self.assertRaisesRegex(ValueError, "Unsicherer ZIP-Pfad"):
+                _extract_python_zip(zip_bytes, temp_root)
+            self.assertFalse((Path(temp_dir) / "escape.py").exists())
+
+
 class MethodenAnalyserInvalidBodyTests(unittest.TestCase):
     """Verifies that malformed POST bodies return 400, not 500."""
 
@@ -160,6 +206,12 @@ def test_valid_but_empty_json_body_returns_400(self) -> None:
         self.assertEqual(status, 400)
         self.assertFalse(payload["ok"])
 
+    def test_request_larger_than_limit_returns_413(self) -> None:
+        status, payload = self.post_raw(b"x" * (MAX_REQUEST_SIZE + 1))
+        self.assertEqual(status, 413)
+        self.assertFalse(payload["ok"])
+        self.assertIn("2 MB", payload["error"])
+
 
 class MethodenAnalyserStaticHttpTests(unittest.TestCase):
     @classmethod
@@ -232,6 +284,21 @@ def test_runtime_endpoint_returns_mobile_metadata(self) -> None:
         self.assertIn('"local_only": true', payload)
         self.assertIn('"local_url": "http://127.0.0.1:', payload)
         self.assertIn('"mobile_command": "python webapp/server.py --host 0.0.0.0 --port', payload)
+        self.assertIn('"lan_enabled": false', payload)
+
+    def test_documentation_matches_the_lan_security_boundary(self) -> None:
+        webapp_doc = (PROJECT_ROOT / "WEBAPP.md").read_text(encoding="utf-8")
+        privacy_doc = (PROJECT_ROOT / "PRIVACY_POLICY.md").read_text(encoding="utf-8")
+        readme_en = (PROJECT_ROOT / "README.md").read_text(encoding="utf-8")
+        readme_de = (PROJECT_ROOT / "README_de.md").read_text(encoding="utf-8")
+
+        self.assertIn("127.0.0.1", webapp_doc)
+        self.assertIn("0.0.0.0", webapp_doc)
+        self.assertIn("keine Authentifizierung und kein TLS", webapp_doc)
+        self.assertIn("vertrauenswürdigen", webapp_doc)
+        self.assertIn("ohne Authentifizierung oder TLS", privacy_doc)
+        self.assertIn("authentication or TLS", readme_en)
+        self.assertIn("Authentifizierung oder TLS", readme_de)
 
 
 if __name__ == "__main__":