v1.3.0 – Swagger-Oberfläche für die OData-API

Neu

• Swagger-Oberfläche unter /swagger und ein OpenAPI-Dokument unter /openapi/odata.json, zur Laufzeit aus dem EDM-Modell erzeugt (Microsoft.OpenApi.OData). Über Authorize wird der Header X-Api-Key gesetzt, danach lassen sich die Aufrufe direkt ausprobieren.
• Das Dokument beschreibt nur, was die API wirklich bietet: lesen auf allen drei Mengen, POST, PATCH und DELETE nur auf Countries. Der Generator hatte zuerst mehr Operationen beschrieben (z. B. POST auf WorldRegions, die in Wirklichkeit 405 liefern); ein Test hält das jetzt fest.
• Standardmäßig aus (OpenApi:Enabled). Eingeschaltet im Development-Profil und im Azure-Deployment (Bicep).
• Oberfläche und Dokument sind ohne Key lesbar und enthalten keine Daten. Datenendpunkte und /mcp verlangen weiterhin den API-Key (401 ohne).
• Das Dokument nutzt eine relative Server-URL (/odata/v1) und hängt nicht vom Host-Header ab.
• Abhängigkeiten: Microsoft.OpenApi auf 3.5.4 angehoben (die transitiv gezogene 3.5.1 hat eine bekannte Schwachstelle beim Einlesen zirkulärer Schemata), Microsoft.OData.Core auf 8.4.3 abgeglichen. Keine bekannten Schwachstellen mehr.
• 123 Tests (zuvor 114): Swagger aus bzw. an, Dokument, unterstützte Operationen, Host-Header, Schutz der Daten.

Grenzen

• Swagger deckt nur OData ab. Der MCP-Endpunkt /mcp ist kein REST und steht nicht im Dokument.
• Unverändert: flüchtige Daten in Azure, API-Keys statt Entra ID, öffentliche Erreichbarkeit mit Key und Rate Limit.