Ticketing, CRM, Verträge, Assets, Wissensdatenbank, LMS – jede Mutation mit JSON-Patch-Audit, Mandanten-Trennung und stabilen UUIDv7-IDs. Authentifizierung über opake Sessions, Autorisierung relationship-basiert.
# 1) Sign-in (opake Session)
curl -X POST https://os.codemeta.de/api/auth/sign-in/email \
-H "Content-Type: application/json" \
-c cookies.txt \
-d '{"email":"alice@example.com","password":"…"}'
# 2) Mandantenkontext via Header
curl https://os.codemeta.de/api/v1/tickets \
-H "X-Tenant-Id: 0192f2c0-8d1c-7a3b-9e4f-d3e7f1a2b5c8" \
-b cookies.txtAuthentifizierung, Mandantenkontext, Ihr erster Request.
X-Tenant-Id, mandantenfremder Zugriff, SpiceDB-Beziehungen.
JSON-Patch-Trail für jede Änderung, abrufbar pro Entity.
Zwei-stufiges Modell: funktionale Permissions + Datenscopes.
Signierte Events pro Mandant, Lifecycle-Garantien, Retry.
Alle Endpoints mit Schemas, Beispielen und Fehlerformat.
Eine konsistente API über alle Module – mit denselben Semantiken für Versionen, Audit, Löschung und Fehlerformat.
Jede Änderung an einer Entity erzeugt im selben MongoDB-Transaktionsschritt einen Audit-Eintrag mit RFC-6902-Patch, Akteur und Zeitstempel. Abrufbar pro Entity über die Timeline-Route.
Audit-Historie verstehen →Fehler folgen Problem Details for HTTP APIs. type,title, status, detail – und eine optionale errors[]-Liste für Validierung. Keine Mischung aus Plain-Text und JSON.
Alle Entity-IDs sind UUIDv7. Sie sind global eindeutig, chronologisch monoton und können in Listen ohne Zusatzfeld stabil paginiert werden. Nie ObjectIds, nie auto-increment.
Sequenznummern vs. IDs →End-to-end von Sign-in bis zur Antwort, ohne SDK.
Timeline-Route, Filter, Cursor-Pagination.
HMAC-Signatur prüfen, Replay verhindern.
version-Feld, 409-Auflösung, Retry-Strategie.
deletedAt + deletedBy, kein Hard-Delete.
OpenAPI 3.1 als Single Source of Truth.