Kontrollverlust/notes/android.md

Android-App (Plan, zurückgestellt)

Stand 2026-10-02. Noch nichts davon ist umgesetzt; das hier ist die Entscheidungsgrundlage für später.

Anforderungen

• PGP clientseitig: signieren, verifizieren, ver-/entschlüsseln
• private Schlüssel lokal auf dem Gerät speichern
• Push-Benachrichtigungen
• Kamera-Zugriff

Entscheidung: Capacitor

Der bestehende React-Code wird mit Capacitor als APK gebündelt. Eine native Kotlin-App ist nicht nötig; nativer Code beschränkt sich auf (fertige oder kleine eigene) Plugins.

Verworfen: PWA / Trusted Web Activity

Wäre fast ohne Umbau machbar (Manifest, Service Worker, /.well-known/assetlinks.json, Bubblewrap), scheitert aber am PGP-Ziel: Bei TWA/PWA liefert der Server den Code bei jedem Start neu aus. Wer den Server kontrolliert (Angreifer, kompromittiertes PROD, Anordnung), kann JavaScript nachschieben, das den privaten Schlüssel ausliest. Clientseitige Kryptographie soll gerade das Vertrauen in den Server überflüssig machen.

Mit Capacitor steckt der Code signiert im APK; Updates laufen über den App-Signaturschlüssel, nicht über einen PROD-Deploy.

Verworfen: native App (Kotlin/Compose)

Kompletter Neubau des Frontends ohne Mehrwert für die Anforderungen; passt außerdem schlecht zum bewusst rohen Design, das in der Web-Version schon existiert.

Umbau Frontend

• API-Basis-URL: frontend/src/api.ts ruft fest /api… auf. Das wird konfigurierbar (z. B. import.meta.env.VITE_API_BASE), weil die App unter https://localhost läuft, nicht auf der Domain.
• Absolute URLs: Bild-URLs aus der API und geteilte Links (/entry/123) müssen die Domain enthalten.
• Deep Links: Android App Links für https://<domain>/entry/….
• Routing: createBrowserRouter funktioniert unter Capacitor weiter.

Umbau Backend

• Bearer-Token: Der Session-Cookie (auth.go, HttpOnly, SameSite=Lax) kommt im WebView cross-origin nicht zuverlässig an. Zweiter Login-Modus: Token im JSON-Body zurückgeben, Client schickt Authorization: Bearer …, getSession akzeptiert beides. Die Web-Version bleibt beim Cookie.
• CORS: Middleware für Access-Control-Allow-Origin mit den App-Origins (https://localhost, capacitor://localhost) inkl. Preflight.
• checkOrigin (main.go): App-Origins zulassen bzw. Requests mit Bearer-Token ausnehmen. Ohne Cookie gibt es dort kein CSRF-Risiko.

PGP

• Bibliothek: OpenPGP.js im Bundle, kein nativer Code. Kommt mit der CSP default-src 'self' aus.
• Web-Version: Derselbe Code kann dort laufen, aber mit der schwächeren Garantie (servergelieferter Code, siehe oben). Sollte in der UI kenntlich sein.
• Schlüsselablage: Der Android Keystore kann PGP-Schlüssel nicht direkt halten (keine Curve25519/PGP-Formate, gibt Schlüssel nie heraus). Daher:
  1. Im Keystore liegt ein hardwaregestützter AES-Schlüssel, optional an Biometrie/PIN gebunden.
  2. Mit ihm wird der PGP-Private-Key verschlüsselt.
  3. Das Ergebnis liegt im App-Speicher. Dafür gibt es Capacitor-Plugins (Secure Storage, Biometrie); notfalls ein eigenes Plugin, ca. 100 Zeilen Kotlin. IndexedDB allein ist die schwächere Alternative (nicht hardwaregebunden, XSS-lesbar).
• Optional OpenKeychain: Über dessen OpenPGP-API (Intents) kann die App Signieren/Entschlüsseln delegieren und hält selbst nie einen Schlüssel. Eigenes Capacitor-Plugin; nur als Zusatzoption, nicht als einziger Weg.

Vorab klären (betrifft das Backend)

Signiert der Client Beiträge, muss der Server das abbilden:

• Tabelle mit öffentlichen Schlüsseln pro Account (Upload, Wechsel, Widerruf)
• Signaturfeld an entry
• API liefert Signatur und Schlüssel mit, damit andere Clients verifizieren können

Kann unabhängig von der App vorbereitet werden.

Push

• Firebase Cloud Messaging über das Capacitor-Push-Plugin.
• Backend: Tabelle für Device-Tokens pro Account, FCM-Sender.
• Inhalt nur „es gibt etwas Neues“ oder PGP-verschlüsselt, sonst liest Google mit.

Kamera

Capacitor-Kamera-Plugin; alternativ reicht <input type="file" capture> ganz ohne Plugin.

Reihenfolge (Vorschlag)

1. Backend: Bearer-Token, CORS, checkOrigin
2. Frontend: API-Basis-URL, absolute URLs
3. Capacitor-Projekt, APK-Build, App Links
4. Kamera
5. Push (FCM, Device-Tokens)
6. PGP: Schlüsseltabelle/Signaturfeld im Backend, OpenPGP.js, Keystore-gestützte Ablage
7. optional OpenKeychain-Plugin