{ "componentChunkName": "component---src-templates-plugin-docs-tsx", "path": "/plugins/scm-oauth2-plugin/docs/latest/SOURCECODE_STATISTIK/", "result": {"data":{"plugin":{"name":"scm-oauth2-plugin","displayName":"OAuth2/OIDC","description":"Authentication for SCM-Manager using OAuth2/OIDC","author":"Thorsten Ludewig","documentation":[{"version":"1.0.x","languages":["DATENSCHUTZ_FOLGEABSCHAETZUNG","PROZESS_BESCHREIBUNG","COMPLIANCE_BERICHT","SOURCECODE_STATISTIK","javadoc"]}]},"navigation":{"nodes":[]},"versions":{"group":[{"fieldValue":"1.0.x"}]},"languages":{"group":[{"fieldValue":"COMPLIANCE_BERICHT"},{"fieldValue":"DATENSCHUTZ_FOLGEABSCHAETZUNG"},{"fieldValue":"PROZESS_BESCHREIBUNG"},{"fieldValue":"SOURCECODE_STATISTIK"},{"fieldValue":"javadoc"}]},"markdownRemark":{"html":"

Sourcecode-Statistik — scm-oauth2-plugin

\n

Dokumentversion: 1.1 · Stand: 17.08.2026 · Softwarestand: scm-oauth2-plugin 1.0.2\nErhebungsbasis: Arbeitskopie des Projektverzeichnisses, letzter Commit vom 10.08.2026

\n

Quantitativer Nachweis über Umfang, Testabdeckung und Dokumentationsgrad der Codebasis. Dient als\nBelegdokument für die Maßnahmen nach Art. 21 Abs. 2 lit. e und f NIS2\n(Compliance-Bericht, Abschnitt 3). Alle Zahlen sind mit\nden in Abschnitt 8 angegebenen Befehlen reproduzierbar.

\n

1. Umfang auf einen Blick

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
KennzahlWert
Quelldateien insgesamt (ohne generierte Artefakte)69
Zeilen insgesamt8.970
davon Code4.835
davon Kommentar2.740
davon leer1.228
Java-Typen (Top-Level)40
Öffentliche Member im Produktivcode71
Automatisierte Tests185 (0 Fehler, 0 übersprungen)
Paketgröße .smp116 KB
\n

2. Verteilung nach Bereich

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BereichDateienZeilenCodeKommentarLeerKommentarquote
Java, Produktivcode425.2362.5132.12260145,8 %
Java, Tests182.9821.92946059319,3 %
Frontend (TypeScript/TSX)65853931583428,7 %
Ressourcen (JSON, XML)3167————
Summe698.9704.8352.7401.22836,2 %
\n

Kommentarquote ohne Lizenzkopf

\n

Jede Java- und TypeScript-Datei trägt einen 15-zeiligen AGPL-Lizenzkopf (66 Dateien = 990 Zeilen).\nOhne diesen Pflichtanteil ergibt sich der tatsächliche Dokumentationsgrad:

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
BereichFachkommentarCodeQuote
Java, Produktivcode1.4922.51337,3 %
Frontend6839314,8 %
Java, Tests1901.9299,0 %
\n

Der Produktivcode ist damit auf rund 3 Codezeilen mit 1 Zeile Erläuterung dokumentiert. Alle 40\nJava-Typen besitzen Javadoc; von den 71 öffentlichen Membern sind 45 dokumentiert — die\nverbleibenden sind überwiegend Injektions-Konstruktoren, deren Parameter sich unmittelbar aus\nden Feldern ergeben. Zusätzlich beschreiben zwei package-info.java die Gesamtarchitektur\n(180 Zeilen). Bei den Tests trägt der sprechende Methodenname den größten Teil der Dokumentation,\nergänzt um je eine Szenario-Beschreibung pro Testklasse.

\n

3. Produktivcode nach Datei

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
DateiZeilenAufgabe
TokenVerifier.java326Signatur- und Claim-Prüfung von ID Token und Access Token
OAuth2AuthenticationResource.java299Login- und Callback-Endpunkt, state-Prüfung, Nonce, Umleitungsvalidierung
JwksClient.java220Abruf des JSON Web Key Sets, Rekonstruktion der öffentlichen Schlüssel
ConfigurationResource.java205REST-API der Konfiguration, Secret- und URL-Behandlung
AfterLogoutRedirectToIdp.java200RP-initiated Logout
JwsAlgorithm.java185Algorithmen-Allowlist mit Bindung an den Schlüsseltyp
OAuth2RestClient.java183Token-Tausch und Userinfo-Abruf
ForceOAuth2LoginFilter.java169erzwungene Anmeldung
StateStore.java165offene Anmeldevorgänge: state, PKCE-Verifier, Nonce
OAuth2Configuration.java162Konfigurationsobjekt (21 Felder)
GroupSynchronizer.java161Gruppen und Mitgliedschaften
Jws.java159Zerlegen und Signaturprüfung eines Kompakt-JWS
UserInfoMapper.java153Claims → Benutzer und Gruppen
DiscoveryClient.java152OIDC-Discovery
UserMigration.java151Übernahme bestehender Konten
package-info.java (Hauptpaket)139Architektur- und Ablaufübersicht
JwksProvider.java137Schlüssel-Cache mit Erneuerung bei Schlüsselrotation
AuthenticationInfoBuilder.java132Orchestrierung der Anmeldung
IndexConfigurationEnricher.java128Verlinkung für das Frontend
AccessTokenRoleReader.java128Rollen aus dem geprüften Access Token
weitere 22 Dateienje ≤ 117Endpunktauflösung, Wertobjekte, Stores, Erweiterungspunkte
\n

4. Struktur

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
MerkmalAnzahlBestandteile
Erweiterungspunkte des Kerns (@Extension)6Shiro-Realm, GroupResolver, LogoutRedirection, Index-Enricher, ExternalAuthenticationAvailableNotifier, Guice-Modul
Servlet-Filter (@WebElement)1ForceOAuth2LoginFilter
JAX-RS-Ressourcen2Authentifizierung, Konfiguration
REST-Endpunkte42 × anonym (Login, Callback), 2 × rechtegeschützt (Konfiguration lesen/schreiben)
Konfigurationsfelder21siehe README
Berechtigungen2configuration:read:oauth2, configuration:write:oauth2
Persistente Speicher2config/oauth2.xml, var/data/oauth2Groups/
Flüchtige Speicher3StateStore (10 min), IdTokenStore (12 h), JwksProvider (1 h, keine personenbezogenen Daten)
Frontend-Komponenten4Login-Formular, Navigationslink, Konfigurationsseite, Konfigurationsformular
Übersetzungsschlüssel57 je SpracheDeutsch und Englisch, vollständig paritätisch
\n

5. Tests

\n

185 Tests in 17 Klassen, alle grün, keine übersprungen. Verhältnis Testcode zu Produktivcode:\n1.929 : 2.513 Zeilen = 0,77 : 1.

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
TestklasseTestsPrüfschwerpunkt
GroupNameSanitizerTest35Namensnormalisierung, Gegenprüfung gegen die Namensvalidierung des Kerns
TokenVerifierTest28Signatur- und Claim-Prüfung gegen echte RSA-, EC- und HMAC-Signaturen
GroupSynchronizerTest22Anlage, Mitgliedschaften, Robustheit bei Einzelfehlern
OAuth2AuthenticationResourceTest16state-Bindung, Einmaligkeit, Umleitungsziele, PKCE, Nonce, Fehlerbehandlung
ConfigurationResourceTest13Secret write-only, URL-Validierung, Pflichtfelder
AccessTokenRoleReaderTest9JSON-Pfade; keine Rollen ohne geprüftes Token
JwksClientTest8Rekonstruktion von RSA- und EC-Schlüsseln, Überspringen unbrauchbarer Schlüssel
UserMigrationTest9Kontoübernahme, Erhalt gespeicherter Attribute
UserInfoMapperTest7Claim-Auswertung, sub-Fallback, ungültige E-Mail
ForceOAuth2LoginFilterTest7Durchlass, gefälschtes Cookie, XHR-Behandlung
AdminGroupSynchronizerTest7Zuweisung und Entzug des Administratorrechts
StateStoreTest5Einmaligkeit, Ablauf, Eindeutigkeit
JwksProviderTest5Schlüssel-Cache, Erneuerung bei Schlüsselrotation, Ratenbegrenzung
EndpointResolverTest5manuelle Konfiguration, Discovery, Cache-Verhalten
AfterLogoutRedirectToIdpTest4Logout-URL mit und ohne id_token_hint
DiscoveryClientTest3Normalisierung der Discovery-URL
AuthenticationInfoBuilderTest2Zusammenspiel aller Anmeldeschritte; kein Aufbewahren eines ungeprüften ID Tokens
Frontend (Jest)1Testinfrastruktur
\n

Abdeckung der Schutzmaßnahmen: Für jede der 19 im\nCompliance-Bericht genannten\nMaßnahmen existiert mindestens ein Test oder eine strukturelle Zusicherung; die sicherheitsnahen\nTests machen mit 96 Fällen (TokenVerifierTest, OAuth2AuthenticationResourceTest,\nJwksClientTest, ForceOAuth2LoginFilterTest, ConfigurationResourceTest, StateStoreTest,\nJwksProviderTest, AdminGroupSynchronizerTest, UserMigrationTest) rund 52 % der Testfälle aus.

\n

Die Signaturprüfung wird nicht gegen Mocks getestet, sondern gegen echte Signaturen: die Tests\nerzeugen RSA- und EC-Schlüsselpaare, signieren die Tokens selbst und bauen den JSON Web Key Set\ndazu nach (TestTokens). Damit sind auch die Angriffsfälle abgedeckt — alg: none, fremder\nSchlüssel, fremdes Secret, manipulierte Signatur, fremder Aussteller, fremde Audience, abgelaufenes\nToken, falscher und fehlender Nonce.

\n

6. Abhängigkeiten und Lieferkette

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
EbeneUmfang
Laufzeit (Java)keine eigenen Abhängigkeiten — der dependencies-Block ist leer; genutzt werden ausschließlich die vom SCM-Manager-Kern bereitgestellten Bibliotheken (Shiro, Jackson, Guava, Guice, JAX-RS). Die Signaturprüfung ist bewusst mit den Krypto-Primitiven des JDK umgesetzt (java.security, javax.crypto) statt mit einer JWT-Bibliothek, damit diese Eigenschaft erhalten bleibt
Build (Java)org.scm-manager.smp 0.18.0, Ziel-Kernversion 3.9.0, Lombok 1.18.46 (bewusst auf eine JDK-taugliche Version fixiert), MapStruct über das smp-Plugin
Frontend19 Laufzeit- und 19 Entwicklungsabhängigkeiten laut package.json, 1 Resolution; alle aus dem SCM-Manager-UI-Ökosystem bzw. dem React-Umfeld
LizenzAGPL-3.0-only; Lizenzkopf in allen 66 Java- und TypeScript-Dateien sowie in permissions.xml, geprüft durch ./gradlew checkLicenses
\n

Die leere Laufzeit-Abhängigkeitsliste ist für die Lieferkettensicherheit (Art. 21 Abs. 2 lit. d\nNIS2) der wesentliche Punkt: das Plugin vergrößert die Angriffsfläche des Kerns nicht um\nzusätzliche Fremdbibliotheken.

\n

7. Artefakte und Historie

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
ArtefaktWert
Plugin-Paket scm-oauth2-plugin.smp116 KB
API-Dokumentation docs/javadoc47 HTML-Seiten, 67 Dateien, 920 KB
BetriebsdokumentationREADME.md (englisch), README_de.md (deutsch), inhaltlich paritätisch
Compliance-Dokumentation4 Dokumente in docs/
Commits9 Commits bis 10.08.2026 plus die Änderungen des Release 1.0.2
FreigabenTag v1.0.1, Release 1.0.2 vom 17.08.2026
Qualitätssicherung im BuildcheckLicenses, validate, validatePluginJson, test, ui-test, Javadoc ohne Warnungen
\n

8. Reproduktion der Messung

\n

Alle Zahlen dieses Dokuments entstehen aus der Arbeitskopie. Ausführung im Plugin-Verzeichnis:

\n
# Zeilen je Bereich\nfind src/main/java -name '*.java' | wc -l\nfind src/main/java -name '*.java' -exec cat {} + | wc -l\n\n# Klassifikation Code / Kommentar / Leerzeile\nfind src/main/java -name '*.java' -exec cat {} + | awk '\n  BEGIN{code=0;com=0;blank=0;inblock=0}\n  {\n    line=$0; gsub(/^[ \\t]+|[ \\t]+$/,\"\",line);\n    if (inblock) { com++; if (line ~ /\\*\\//) inblock=0; next }\n    if (line == \"\") { blank++; next }\n    if (line ~ /^\\/\\*/) { com++; if (line !~ /\\*\\//) inblock=1; next }\n    if (line ~ /^\\/\\//) { com++; next }\n    if (line ~ /^\\*/)  { com++; next }\n    code++\n  }\n  END{printf \"code=%d comment=%d blank=%d\\n\", code, com, blank}'\n\n# Testanzahl und Ergebnis\n./gradlew test\ngrep -h -o 'tests=\"[0-9]*\"' build/test-results/test/*.xml | awk -F'\"' '{s+=$2} END {print s}'\n\n# Struktur\ngrep -rl \"@Extension\" src/main/java --include='*.java' | grep -v package-info | wc -l\ngrep -cE \"^  private (String|boolean) \" src/main/java/de/l9g/scm/oauth2/plugin/OAuth2Configuration.java\n\n# Artefakte\n./gradlew smp && ls -lh build/libs/*.smp\n./gradlew javadoc -Pstage=release && find docs/javadoc -type f | wc -l
\n

Methodische Hinweise: Die Klassifikation ist zeilenbasiert und ordnet eine Zeile mit Code und\nnachgestelltem Kommentar dem Code zu; Kommentare innerhalb von Zeichenketten werden nicht erkannt\n(im vorliegenden Code nicht vorhanden). Generierte Artefakte (build/, node_modules/,\ndocs/javadoc/) sind in den Zeilenzahlen der Abschnitte 1 bis 3 nicht enthalten.

\n
\n

Weiterführend: Prozessbeschreibung ·\nCompliance-Bericht ·\nDatenschutz-Folgenabschätzung

","description":"Sourcecode-Statistik — scm-oauth2-plugin Dokumentversion: 1.1 · Stand: 17.08.2026 · Softwarestand: scm-oauth2-plugin 1.0.2\nErhebungsbasis: Arbeitskopie des…","tableOfContents":"","frontmatter":{"title":"","subtitle":null,"description":null,"keywords":null,"displayToc":null,"image":null}}},"pageContext":{"name":"scm-oauth2-plugin","slug":"/plugins/scm-oauth2-plugin/docs/1.0.x/SOURCECODE_STATISTIK/","version":"1.0.x","latestVersion":"1.0.x","latestPageVersion":"1.0.x","language":"SOURCECODE_STATISTIK","canonicalPath":"/plugins/scm-oauth2-plugin/docs/latest/SOURCECODE_STATISTIK/","latestRootPath":"/plugins/scm-oauth2-plugin/docs/1.0.x/SOURCECODE_STATISTIK/"}}, "staticQueryHashes": ["1973669194","2742214048","2956773653","2957019495","698804963"]}