"}
- [x] Passwort-Reset
- [x] Audit-Log
- [x] Auto-Updater mit DB-Migrationen
-- [ ] Erweiterte Reporting-Funktionen
-- [ ] Docker-Container
+- [x] REST-API mit API-Schlüsseln
+- [x] 2FA (TOTP), Webhooks, Bandbreitenlimits
+- [x] Docker-Container
+- [x] Erweiterte Reporting-Funktionen (CSV/PDF) + Health-Endpoint
+- [x] 2FA-Recovery-Codes, API-Scopes/Rate-Limit/OpenAPI, Test-Suite (PHPUnit/PHPStan)
---
-**Version 2.1.0** · Autor: **Friederich Loheide** · Lizenz: **MIT**
+**Version 2.4.0** · Autor: **Friederich Loheide** · Lizenz: **MIT**
diff --git a/admin/api_keys.php b/admin/api_keys.php
new file mode 100644
index 0000000..a2bbbfb
--- /dev/null
+++ b/admin/api_keys.php
@@ -0,0 +1,171 @@
+requireAdmin();
+I18n::init();
+
+$db = Database::getInstance();
+$appTitle = $db->getSetting('app_title', 'UniFi Voucher System');
+
+$error = '';
+$success = '';
+$newKey = '';
+
+if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['create_key'])) {
+ if (!$auth->validateCsrfToken($_POST['csrf_token'] ?? '')) {
+ $error = __('error_csrf');
+ } else {
+ $name = trim($_POST['name'] ?? '');
+ if ($name === '') {
+ $error = __('error_name_req');
+ } else {
+ $scope = ($_POST['scope'] ?? 'write') === 'read' ? 'read' : 'write';
+ $rate = max(0, (int)($_POST['rate_limit'] ?? 0));
+ $k = ApiKey::generate();
+ $db->execute(
+ "INSERT INTO api_keys (name, key_prefix, key_hash, scope, rate_limit, created_by) VALUES (?, ?, ?, ?, ?, ?)",
+ [$name, $k['prefix'], $k['hash'], $scope, $rate, $_SESSION['user_id']]
+ );
+ $auth->writeAuditLog($_SESSION['user_id'], 'api_key_create', 'api_key', null, "API-Key '$name' erstellt");
+ $newKey = $k['plain'];
+ $success = 'API-Schlüssel erstellt. Bitte JETZT kopieren – er wird nur einmal angezeigt!';
+ }
+ }
+}
+
+if (isset($_GET['toggle']) && isset($_GET['token']) && $auth->validateCsrfToken($_GET['token'])) {
+ $row = $db->fetchOne("SELECT is_active FROM api_keys WHERE id = ?", [(int)$_GET['toggle']]);
+ if ($row) {
+ $db->query("UPDATE api_keys SET is_active = ? WHERE id = ?", [$row['is_active'] ? 0 : 1, (int)$_GET['toggle']]);
+ $success = 'Status aktualisiert.';
+ }
+}
+
+if (isset($_GET['delete']) && isset($_GET['token']) && $auth->validateCsrfToken($_GET['token'])) {
+ $db->query("DELETE FROM api_keys WHERE id = ?", [(int)$_GET['delete']]);
+ $auth->writeAuditLog($_SESSION['user_id'], 'api_key_delete', 'api_key', (int)$_GET['delete'], 'API-Key gelöscht');
+ $success = 'API-Schlüssel gelöscht.';
+}
+
+$keys = $db->fetchAll("SELECT k.*, u.name AS creator FROM api_keys k LEFT JOIN users u ON k.created_by = u.id ORDER BY k.created_at DESC");
+$csrf = $auth->getCsrfToken();
+$currentPage = 'api_keys';
+$adminBase = '';
+?>
+
+
+
+API-Schlüssel – <?= htmlspecialchars($appTitle) ?>
+
+
+
+
+🔑 API-Schlüssel
+
+
+
+
+
+
+
Neuer Schlüssel
+
Kopieren Sie ihn jetzt – aus Sicherheitsgründen wird er nicht erneut angezeigt.
+
+
+
Neuen API-Schlüssel erstellen
+
+
+
Vorhandene Schlüssel
+
+
Noch keine API-Schlüssel angelegt.
+
+
+ Name Präfix Scope Limit Status Zuletzt genutzt Erstellt von
+ uvt_…
+ Löschen
+
+
+
+
+
+
+
Verwendung
+
Authentifizierung per Header Authorization: Bearer <key> oder X-API-Key: <key>.
+
# Voucher erstellen
+curl -X POST https://IHRE-DOMAIN/api/vouchers.php \
+ -H "Authorization: Bearer uvt_…" \
+ -H "Content-Type: application/json" \
+ -d '{"site_id":1,"name":"API Gast","max_uses":1,"expire_minutes":480}'
+
+# Sites auflisten
+curl https://IHRE-DOMAIN/api/sites.php -H "X-API-Key: uvt_…"
+
OpenAPI-Spezifikation (Import in Postman/Swagger): /api/openapi.php
+
Backup & Restore – <?= htmlspecialchars($appTitle) ?>
+
+
+
+
+💾 Backup & Restore
+
+
+
+
+
+
Export
+
Lädt Einstellungen, Sites und Voucher-Profile als JSON. Site-Passwörter bleiben mit dem APP_KEY dieser Installation verschlüsselt – ein Restore auf einer Installation mit anderem APP_KEY kann sie nicht entschlüsseln.
+
Konfiguration exportieren
+
+
Import / Restore
+
Vorhandene Sites werden anhand von Name + Site-ID aktualisiert, neue hinzugefügt. Profile werden nur angelegt, wenn der Name noch nicht existiert. Der Cron-Token wird nie überschrieben.
+
+
CSV-Import – <?= htmlspecialchars($appTitle) ?>
+
+
+
+
+📥 Voucher-Import (CSV)
+
+
+
+
+
+
Mehrere Voucher erstellen
+
Eine Zeile pro Voucher: Name,MaxGeräte,Minuten – MaxGeräte und Minuten sind optional (Standardwerte greifen). Max. 200 Zeilen. Beispiel:Gast Müller,1,480 · Konferenzraum A,5,240 · Tagespass
+
+
+
Ergebnis
+
Name Code / Fehler Status
+
Integration & Wartung – <?= htmlspecialchars($appTitle) ?>
+
+
+
+
+🔧 Integration & Wartung
+
+
+
+
+
+
+
+
+
+
diff --git a/admin/reports.php b/admin/reports.php
new file mode 100644
index 0000000..e43b056
--- /dev/null
+++ b/admin/reports.php
@@ -0,0 +1,174 @@
+requireAdmin();
+I18n::init();
+
+$db = Database::getInstance();
+$appTitle = $db->getSetting('app_title', 'UniFi Voucher System');
+
+// Zeitraum (Tage)
+$days = max(1, min(365, (int)($_GET['days'] ?? 30)));
+
+// CSV-Export
+if (isset($_GET['export'])) {
+ $auth->requireAdmin();
+ header('Content-Type: text/csv; charset=utf-8');
+ $fn = 'report-' . $_GET['export'] . '-' . date('Y-m-d') . '.csv';
+ header('Content-Disposition: attachment; filename="' . $fn . '"');
+ $out = fopen('php://output', 'w');
+ fprintf($out, "\xEF\xBB\xBF"); // UTF-8 BOM für Excel
+
+ if ($_GET['export'] === 'per_site') {
+ fputcsv($out, ['Site', 'Gesamt', 'Gültig', 'Verwendet', 'Abgelaufen']);
+ $rows = $db->fetchAll(
+ "SELECT s.name,
+ COUNT(v.id) total,
+ SUM(v.status='valid') valid,
+ SUM(v.status='used') used,
+ SUM(v.status='expired') expired
+ FROM sites s LEFT JOIN vouchers v ON v.site_id=s.id
+ GROUP BY s.id ORDER BY total DESC"
+ );
+ foreach ($rows as $r) fputcsv($out, [$r['name'], (int)$r['total'], (int)$r['valid'], (int)$r['used'], (int)$r['expired']]);
+ } elseif ($_GET['export'] === 'per_user') {
+ fputcsv($out, ['Benutzer', 'E-Mail', 'Voucher erstellt']);
+ $rows = $db->fetchAll(
+ "SELECT u.name, u.email, COUNT(v.id) c FROM users u
+ LEFT JOIN vouchers v ON v.user_id=u.id GROUP BY u.id ORDER BY c DESC"
+ );
+ foreach ($rows as $r) fputcsv($out, [$r['name'], $r['email'], (int)$r['c']]);
+ } else { // daily
+ fputcsv($out, ['Datum', 'Erstellte Voucher']);
+ $rows = $db->fetchAll(
+ "SELECT DATE(created_at) d, COUNT(*) c FROM vouchers
+ WHERE created_at >= DATE_SUB(CURDATE(), INTERVAL ? DAY)
+ GROUP BY DATE(created_at) ORDER BY d", [$days]
+ );
+ foreach ($rows as $r) fputcsv($out, [$r['d'], (int)$r['c']]);
+ }
+ fclose($out);
+ exit;
+}
+
+// Kennzahlen
+$totals = $db->fetchOne(
+ "SELECT COUNT(*) total,
+ SUM(status='valid') valid, SUM(status='used') used, SUM(status='expired') expired
+ FROM vouchers"
+);
+$inPeriod = (int)($db->fetchOne(
+ "SELECT COUNT(*) c FROM vouchers WHERE created_at >= DATE_SUB(CURDATE(), INTERVAL ? DAY)", [$days]
+)['c'] ?? 0);
+
+$perSite = $db->fetchAll(
+ "SELECT s.name,
+ COUNT(v.id) total, SUM(v.status='valid') valid, SUM(v.status='used') used, SUM(v.status='expired') expired
+ FROM sites s LEFT JOIN vouchers v ON v.site_id=s.id GROUP BY s.id ORDER BY total DESC"
+);
+$perUser = $db->fetchAll(
+ "SELECT u.name, COUNT(v.id) c FROM users u LEFT JOIN vouchers v ON v.user_id=u.id
+ GROUP BY u.id HAVING c > 0 ORDER BY c DESC LIMIT 10"
+);
+$daily = $db->fetchAll(
+ "SELECT DATE(created_at) d, COUNT(*) c FROM vouchers
+ WHERE created_at >= DATE_SUB(CURDATE(), INTERVAL ? DAY)
+ GROUP BY DATE(created_at) ORDER BY d", [$days]
+);
+$chartLabels = array_map(fn($r) => date('d.m', strtotime($r['d'])), $daily);
+$chartData = array_map(fn($r) => (int)$r['c'], $daily);
+
+$csrf = $auth->getCsrfToken();
+$currentPage = 'reports';
+$adminBase = '';
+?>
+
+
+
+Reporting – <?= htmlspecialchars($appTitle) ?>
+
+
+
+
+
+📊 Reporting
+
+
+
+
+
+
+
Erstellte Voucher ( Tage)
+
+
Pro Site
+
Site Gesamt Gültig Verwendet Abgelaufen
+
+
Top-Nutzer
+
Benutzer Voucher erstellt Keine Daten
+
Zwei-Faktor-Authentifizierung – <?= htmlspecialchars($appTitle) ?>
+
+
+
+
+
+
+
+
🔐 Zwei-Faktor-Authentifizierung
+
Konto:
+
+
+
Aus Sicherheitsgründen ist 2FA für Administratoren verpflichtend. Bitte jetzt einrichten.
+
+
+
+
+
+
+
🔑 Recovery-Codes
+
Bewahren Sie diese sicher auf. Jeder Code funktioniert einmal , falls Sie keinen Zugriff auf Ihre App haben.
+
+
+
+
+
+
+
● Nicht verfügbar
+
Ihr Konto meldet sich über Microsoft 365 an. 2FA wird dort in Ihrem Microsoft-Konto verwaltet.
+
+
● Aktiv
+
Bei jeder Anmeldung wird zusätzlich ein Code aus Ihrer Authenticator-App abgefragt.backupCodesRemaining($user) ?>
+
+
+
+
● Inaktiv
+
+ Authenticator-App öffnen (Google Authenticator, Authy, Microsoft Authenticator …)
+ QR-Code scannen oder Secret manuell eingeben
+ Den angezeigten 6-stelligen Code unten eingeben
+
+
+
+
+
+
+
+
+
+
Aktive Sitzungen:
+
+
+
+
← Zurück
+
- 
+ 
+
+### REST-API, 2FA & Integrationen
+
+
+