Spicy Media sah die Zeilen der Modis -- drei Tabellen, ein Loch

GEMESSEN, NICHT VERMUTET, und es war live: Aufgaben, Bereichs-Eintraege
und Dateien eines Modis waren fuer Spicy Media sichtbar. Die NAMEN der
Modis waren ueberall sauber verborgen -- ihre ZEILEN nicht. Eine halbe
Verborgenheit ist keine.

WARUM ES PASSIEREN KONNTE: Fuer Personen gibt es die Regel EINMAL
zentral (verborgeneIds). Fuer Zeilen gibt es sie DREIMAL -- in
workspace-aufgaben.js, workspace-bereiche.js und workspace-dateien.js --
und alle drei geben Spicy Media dasselbe: "alles ausser dem, was
DogFather gehoert" (ohneDogFather). Ein Modi-Eintrag gehoert ihm nicht,
also fiel er durch.

Manager, Scout und Creator waren nie betroffen, ihre Regeln sind enger.
Der Kalender auch nicht: termineSichtbar() gibt jedem nur Eigenes.
Beides nachgesehen, nicht angenommen.

GEFUNDEN HAT ES KEINE UEBERLEGUNG, sondern eine Pruefung, die etwas
ANLEGT und danach mit fremden Augen nachsieht. Vorher hatte ich nur
Namenslisten geprueft -- und die waren die ganze Zeit gruen. Der Anlass
war nicht einmal Misstrauen gegen diese Stelle: Ich wollte ein
Ideen-Board auf die Eintraege setzen und dabei wissen, wer sie sieht.

BEHOBEN mit ohneModi() als Gegenstueck zu ohneDogFather -- und zwar als
UMHUELLUNG um die drei Regeln, nicht als Flicken darin. Ein Flicken
haette den einen bekannten Zweig geschlossen und den naechsten
Rollenzweig wieder offen gelassen; gemerkt haette es niemand, weil an
der geaenderten Stelle nichts davon steht.

Dazu die `fuerAlle`-Ausnahme bei den Eintraegen: Sie haengt ein ODER an
und haette die Bedingung sonst wieder aufgemacht. Heute hat kein Modi
eine Kachel in einen solchen Bereich -- ein Aufruf an der Oberflaeche
vorbei braucht sie aber nicht. Eine Regel, die nur im Formular gilt,
ist keine Regel.

Nachgesehen, dass die Umhuellung nirgends das falsche Tabellenkuerzel
setzt: Alle Aufrufstellen in workspace-hinweise.js und workspace-suche.js
fuehren die Tabellen als a, d und e -- genau so, wie es dasteht.

NEBENBEI: Das Modi-Team teilt sich jetzt auch die Bereichs-Eintraege,
nicht nur die Aufgaben (Entscheidung Filipe, 09.09.2026: "sie sind
untereinander ein Team"). Ohne diesen Zweig saehe jeder Modi nur, was er
selbst geschrieben hat -- eine gemeinsame Sammlung waere keine.

ZWEI EIGENE FEHLER AUF DEM WEG DAHIN, beide festgehalten:

  * Die neue Messung stand HINTER der Gegenprobe. Die macht eine Person
    absichtlich zur Creatorin -- die Messung bekam 403 und meldete
    "kann nichts anlegen". Gemessen wurde ein Zustand, den es im
    Betrieb nicht gibt. Genau davor warnt der Kommentar, den ich selbst
    zwei Tage vorher an diese Gegenprobe geschrieben hatte.
  * Das "konnte nicht nachsehen" nannte KEINEN Grund. Damit ist der
    dritte Ausgang nur dem Namen nach da -- man weiss danach so wenig
    wie vorher. Erst mit der Fehlermeldung im Text kam ich auf die Spur.

GEPRUEFT: pruef-modi-verborgen (75, davon 18 neu ueber drei Tabellen und
fuenf Rollen), pruef-spicy (60), pruef-bereiche-lesend,
pruef-aufgabenbrett, pruef-modi-katalog (29).

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace-bereiche.js

@@ -18,6 +18,7 @@ import express from "express";
 import {
   db, protokolliere, echteIp, sitzungLesen, betreutWo, darfCreator, betreuteIds, istLeitung, istDogFather, siehtAlles, istSpicy, ohneDogFather,
   externPruefen, externSql,
+  ohneModi, siehtModis,
 } from "./workspace.js";
 
 export const bereicheRouter = express.Router();
@@ -249,9 +250,32 @@ for (const weg of ["post", "patch", "delete", "put"]) {
   bereicheRouter[weg]("/workspace/api/bereich/*", nichtSchreibendFuerCreator);
 }
 
+/* =====================================================================
+   DIE UMHUELLUNG: was einem Modi gehoert, faellt hier heraus.
+
+   Sie sitzt UM die eigentliche Regel und nicht darin -- damit sie auch
+   fuer Regeln gilt, die es heute noch nicht gibt. Beim ersten Anlauf
+   war nur der eine bekannte Fall geflickt (Spicy Media); das haette den
+   naechsten Rollenzweig wieder offen gelassen, und niemand haette es
+   gemerkt, weil an der geaenderten Stelle nichts davon steht.
+
+   DogFather und die Modis gehen unveraendert durch. Fuer alle anderen
+   kommt die Bedingung dazu -- auch fuer die, deren Regel ohnehin nichts
+   Fremdes trifft. Das kostet eine Unterabfrage und spart die Frage,
+   ob es diesmal wirklich niemand treffen kann.
+   ===================================================================== */
+export function sichtbar(person) {
+  const regel = sichtbarRoh(person);
+  if (!regel || siehtModis(person)) return regel;
+  return {
+    wo: `(${regel.wo}) AND ${ohneModi("e", ["creator_id", "erstellt_von"])}`,
+    werte: regel.werte,
+  };
+}
+
 /* Scouts haben mit der Creator-Betreuung nichts zu tun -- sie sehen hier
    nichts. Creator sehen ihren eigenen Bereich, das Management alles. */
-export function sichtbar(person) {
+function sichtbarRoh(person) {
   /* NUR DogFather sieht alles (01.09.2026). Vorher stand hier
      istLeitung() -- damit sah auch jeder Manager jeden Creator. Ein
      Manager faellt jetzt in dieselbe Regel wie ein Scout: nur die
@@ -277,6 +301,14 @@ export function sichtbar(person) {
   }
   /* Ein Scout sieht die Bereiche der Creator, die er betreut -- dazu,
      was er selbst eingetragen hat. */
+  /* DAS MODI-TEAM TEILT SICH SEINE EINTRAEGE -- wie die Aufgaben
+     (Entscheidung Filipe, 09.09.2026: "sie sind untereinander ein
+     Team"). Ohne diesen Zweig saehe jeder Modi nur, was er selbst
+     geschrieben hat, und eine gemeinsame Ideensammlung waere keine. */
+  if (person.rolle === "modi") {
+    return { wo: `(e.erstellt_von IN (SELECT id FROM personen WHERE rolle = 'modi')`
+      + ` OR e.creator_id IN (SELECT id FROM personen WHERE rolle = 'modi'))`, werte: [] };
+  }
   const b = betreutWo(person, "e.creator_id");
   return b
     ? { wo: `(e.erstellt_von = ? OR ${b.wo})`, werte: [person.id, ...b.werte] }
@@ -307,10 +339,22 @@ export function sichtbarEintrag(person, praefix = "e") {
   if (regel.wo === "1=1") return regel;            // DogFather sieht ohnehin alles
   if (!BEREICHE_FUER_ALLE.length) return regel;
   const liste = BEREICHE_FUER_ALLE.map(() => "?").join(", ");
-  return {
+  const mitAllen = {
     wo: `(${praefix}.bereich IN (${liste}) OR ${regel.wo})`,
     werte: [...BEREICHE_FUER_ALLE, ...regel.werte],
   };
+  /* UND DANACH NOCH EINMAL ZU (10.09.2026).
+
+     sichtbar() haengt die Modi-Bedingung bereits an -- aber das ODER
+     hier oeffnet sie wieder: Ein Eintrag in einem `fuerAlle`-Bereich
+     kaeme durch, egal wem er gehoert. Heute hat kein Modi eine Kachel
+     dorthin; ein Aufruf an der Oberflaeche vorbei braucht sie aber
+     nicht. Eine Regel, die nur im Formular gilt, ist keine Regel. */
+  if (siehtModis(person)) return mitAllen;
+  return {
+    wo: `(${mitAllen.wo}) AND ${ohneModi(praefix)}`,
+    werte: mitAllen.werte,
+  };
 }
 
 const SPALTEN = `