Lesbarere Kaesten, und DogFather kann durch fremde Augen sehen
SCREEN 1 -- "die Kachel ganz leicht dunkler, so dass man den Text besser gelesen bekommt, aber nicht zu viel, so dass man den Hasen noch sieht." Die Erklaerkaesten stehen jetzt auf 88 statt 78 Prozent Deckung. Zehn Punkte sind gemessen der Unterschied zwischen muehsam und ruhig lesbar und lassen zwoelf Prozent Bild durch -- das Motiv bleibt sichtbar. "und die von wichtigen und neuen PDFs sollen auch staerker sein." Das war kein Geschmack, sondern ein Fehler: `background` ist eine Eigenschaft, keine Schicht. Die Zeile `background: rgba(232,192,125,.045)` hat die Flaeche nicht getoent, sondern ERSETZT -- uebrig blieben viereinhalb Prozent Deckung. Damit war ausgerechnet die Anleitung, die jeder lesen soll, die am schwersten lesbare der Seite. Die Toenung liegt jetzt als Schicht darueber. Gemessen: 88 % gegen 78 % bei einer gewoehnlichen. pruef-lesbarkeit.mjs misst das an ECHTEN PIXELN (Text kurz unsichtbar machen, Flaeche fotografieren, WCAG-Formel) und kennt ZWEI Grenzen -- lesbar genug UND durchsichtig genug. Mit nur einer haette sie eine schwarze Flaeche am besten gefunden, und das wollte niemand. SCREEN 2 -- "ich will alles von den Scouts und Managern einsehen koennen, auswaehlen, was und von wem. Ueberall, auf jeder Seite. NUR WIR BEIDE SOLLEN DIESE OPTION HABEN." Die naheliegende Loesung waere ein Filter je Seite gewesen -- also eine zweite Rechteregel in zwoelf Modulen, und eine Rechteregel an zwoelf Stellen stimmt irgendwann an elf. Stattdessen wird die PERSON getauscht, nicht die Regel: Waehlt DogFather einen Scout, laufen alle vorhandenen Sichtbarkeitsregeln unveraendert mit diesem Scout. Er sieht exakt dessen Arbeitsplatz -- nicht mehr, nicht weniger. Keine neue Rechteregel. Im Browser genauso: EIN Ort statt vierzehn. fetch wird einmal umgeleitet und haengt den Wert an jede lesende Abfrage an. Neue Seiten sind damit von selbst dabei; man kann es nicht vergessen. Drei Sicherungen: nur admin (auf dem SERVER geprueft, nicht in der Oberflaeche), nur lesend (geschrieben wird immer im eigenen Namen -- sonst staende im Protokoll der falsche Name), nur aktive Personen. Und ein Rahmen um die Seite, solange eine fremde Sicht laeuft. Der gefaehrlichste Fall ist nicht, dass man nicht umschalten kann, sondern dass man vergisst, dass man umgeschaltet hat -- und drei Aufgaben statt dreissig fuer den Bestand haelt. FUENF FEHLER, DIE DIE PRUEFUNGEN GEFUNDEN HABEN: 1. steckbrief.html hat die Kopfleiste NIE gefuellt -- dort stand monatelang "…" statt des eigenen Namens. Aufgefallen, weil der Umschalter dort fehlte. Jetzt zusaetzlich ein Netz darunter: Meldet sich nach kurzer Zeit niemand, holt der Kopf sich selbst, wer angemeldet ist. Die naechste neue Seite kann es nicht mehr vergessen. 2. Der Umschalter sprengte die Kopfleiste (46 px am Rechner, 117 px am Handy) und drueckte den Abmelden-Knopf hinaus. 3. Ich habe das <select> gestaltet -- wahl.js ersetzt aber jedes Auswahlfeld durch einen eigenen Knopf und schrumpft das echte Feld auf einen Pixel. Meine Regeln haben es wieder auf 20 x 44 aufgeblasen, wo es als unsichtbares Hindernis ueber dem Knopf lag. Gestaltet wird jetzt der Knopf. 4. Ein Wettlauf: Auf profil.html rufen zwei Dateien werZeigen() auf. Beide kamen an "gibt es den Umschalter schon?" vorbei, bevor eine ihn angehaengt hatte -- zwei Umschalter uebereinander. Die Sperre gehoert vor das erste await. 5. Die Handy-Pruefung bemaengelte ein Schild, das dort per display:none gar nicht erscheint. Sie sieht jetzt nur noch sichtbaren Text an -- eine Pruefung, die Unsichtbares anmahnt, gewoehnt man sich ab zu lesen. Dazu zwei Messfehler in den Pruefungen selbst: getComputedStyle liefert ein LEBENDES Objekt (die Farbe wurde gelesen, nachdem der Text unsichtbar gemacht war -- gemeldet wurden 1,17:1 fuer tadellos lesbaren Text), und ein Vergleich lief still ins Leere, weil die Vergleichsdaten fehlten. pruef-sicht.mjs stellt den MISSBRAUCH an den Anfang: Scout, Manager und Creator haengen ?sicht= an und muessen ignoriert werden; erfundene Nummern, Buchstaben und ein Einschleusversuch fallen auf die eigene Sicht zurueck; eine abgeschaltete Person liefert keine Sicht mehr; und was DogFather bei fremder Sicht anlegt, steht unter SEINEM Namen. Co-Authored-By: Claude Opus 5 <[email protected]>
This commit is contained in:
Claude Opus 5
@@ -672,3 +672,201 @@
|
||||
return liste.length;
|
||||
};
|
||||
})();
|
||||
|
||||
/* ===================================================================
|
||||
DIE SICHT EINES ANDEREN — nur fuer DogFather, auf jeder Seite.
|
||||
|
||||
Wunsch vom 01.09.2026: "ich will alles von den Scouts und Managern
|
||||
einsehen koennen, auswaehlen, was und von wem ich sehen will. Und das
|
||||
soll ich als DogFather-Rolle ueberall haben, auf jeder Seite.
|
||||
NUR WIR BEIDE SOLLEN DIESE OPTION HABEN."
|
||||
|
||||
ZWEI ENTSCHEIDUNGEN, die alles andere nach sich ziehen.
|
||||
|
||||
1. DIE PERSON WIRD GETAUSCHT, NICHT DIE REGEL.
|
||||
Waehlt DogFather einen Scout, laeuft jede vorhandene
|
||||
Sichtbarkeitsregel auf dem Server unveraendert mit diesem Scout --
|
||||
er sieht dann exakt dessen Arbeitsplatz. Kein neuer Filter je
|
||||
Seite, keine zweite Rechteregel, die irgendwann von der ersten
|
||||
abweicht.
|
||||
|
||||
2. EIN EINZIGER ORT IM BROWSER.
|
||||
Statt in vierzehn Dateien "&sicht=" anzuhaengen (und es in der
|
||||
fuenfzehnten zu vergessen), wird fetch EINMAL umgeleitet: Jede
|
||||
lesende Anfrage an /workspace/api bekommt den Wert automatisch
|
||||
mit. Neue Seiten sind damit von selbst dabei -- man kann es gar
|
||||
nicht vergessen.
|
||||
|
||||
Angehaengt wird NUR bei GET. Ein Schreibvorgang findet immer im
|
||||
eigenen Namen statt; alles andere waere ein Eintrag im Protokoll
|
||||
unter falschem Namen.
|
||||
|
||||
Die Auswahl liegt im Browser (localStorage), nicht am Konto: Sie ist
|
||||
eine Ansicht dieses Geraets, keine Eigenschaft der Person. Wer sich
|
||||
woanders anmeldet, faengt bei "alles" an -- und das ist richtig so.
|
||||
|
||||
Der Server prueft die Rolle NOCH EINMAL (workspace.js, sichtPerson).
|
||||
Was hier steht, ist Bedienung, kein Schutz: Wer kein DogFather ist,
|
||||
kann den Wert von Hand anhaengen, so oft er mag -- er wird ignoriert.
|
||||
=================================================================== */
|
||||
(() => {
|
||||
'use strict';
|
||||
|
||||
const SCHLUESSEL = 'dfw-sicht';
|
||||
|
||||
const lesen = () => {
|
||||
try { return Number(localStorage.getItem(SCHLUESSEL)) || 0; } catch { return 0; }
|
||||
};
|
||||
const schreiben = (id) => {
|
||||
try {
|
||||
if (id) localStorage.setItem(SCHLUESSEL, String(id));
|
||||
else localStorage.removeItem(SCHLUESSEL);
|
||||
} catch { /* privater Modus -- dann gilt es nur fuer diese Seite */ }
|
||||
};
|
||||
|
||||
window.sichtId = lesen;
|
||||
|
||||
/* ---------- fetch einmal umleiten ------------------------------------- */
|
||||
|
||||
let aktiv = 0; /* 0 = eigene Sicht */
|
||||
const echtesFetch = window.fetch.bind(window);
|
||||
|
||||
window.fetch = function (eingabe, optionen) {
|
||||
try {
|
||||
const art = (optionen?.method || (typeof eingabe === 'object' ? eingabe.method : '') || 'GET')
|
||||
.toUpperCase();
|
||||
const pfad = typeof eingabe === 'string' ? eingabe : (eingabe?.url || '');
|
||||
if (aktiv && art === 'GET' && pfad.startsWith('/workspace/api/')
|
||||
&& !pfad.includes('sicht=')) {
|
||||
const neu = pfad + (pfad.includes('?') ? '&' : '?') + 'sicht=' + aktiv;
|
||||
return echtesFetch(typeof eingabe === 'string' ? neu : new Request(neu, eingabe), optionen);
|
||||
}
|
||||
} catch { /* im Zweifel unveraendert weiterreichen */ }
|
||||
return echtesFetch(eingabe, optionen);
|
||||
};
|
||||
|
||||
/* ---------- Der Umschalter im Seitenkopf -------------------------------- */
|
||||
|
||||
const el = (tag, klasse, text) => {
|
||||
const k = document.createElement(tag);
|
||||
if (klasse) k.className = klasse;
|
||||
if (text !== undefined) k.textContent = text;
|
||||
return k;
|
||||
};
|
||||
|
||||
const ROLLE_GRUPPE = [
|
||||
['manager', 'Manager'],
|
||||
['scout', 'Scouts'],
|
||||
['creator', 'Creator'],
|
||||
['admin', 'DogFather'],
|
||||
];
|
||||
|
||||
/* EIN WETTLAUF, den es wirklich gab: Auf profil.html rufen zwei Dateien
|
||||
werZeigen() auf (profil.js und steckbrief.js). Beide kamen an der
|
||||
Pruefung "gibt es den Umschalter schon?" vorbei, BEVOR eine von
|
||||
ihnen ihn angehaengt hatte -- dazwischen liegt ein await auf die
|
||||
Personenliste. Ergebnis: zwei Umschalter uebereinander, der eine
|
||||
verdeckte den anderen. Gemeldet von pruef-handy als "verdeckt".
|
||||
Die Sperre muss deshalb VOR dem ersten await gesetzt werden. */
|
||||
let baut = false;
|
||||
|
||||
window.sichtAufbauen = async function (ich) {
|
||||
if (!ich || ich.rolle !== 'admin') return;
|
||||
const kopf = document.querySelector('.kopfleiste__rechts');
|
||||
if (!kopf || baut || document.getElementById('sicht-wahl')) return;
|
||||
baut = true;
|
||||
|
||||
aktiv = lesen();
|
||||
|
||||
let personen = [];
|
||||
try {
|
||||
/* Ueber das echte fetch -- diese eine Abfrage darf nicht durch die
|
||||
gewaehlte Sicht laufen, sonst waere die Auswahlliste selbst
|
||||
gefiltert und man kaeme nie wieder heraus. */
|
||||
const a = await echtesFetch('/workspace/api/personen', { credentials: 'same-origin' });
|
||||
if (!a.ok) { baut = false; return; }
|
||||
personen = (await a.json()).personen || [];
|
||||
} catch { baut = false; return; }
|
||||
|
||||
const feld = el('div', 'sicht');
|
||||
feld.id = 'sicht-wahl';
|
||||
|
||||
const schild = el('label', 'sicht__schild', 'Sicht');
|
||||
schild.setAttribute('for', 'sicht-feld');
|
||||
feld.append(schild);
|
||||
|
||||
const s = el('select', 'sicht__feld');
|
||||
s.id = 'sicht-feld';
|
||||
s.append(new Option('Alles (meine Sicht)', ''));
|
||||
for (const [rolle, name] of ROLLE_GRUPPE) {
|
||||
const drin = personen.filter((p) => p.rolle === rolle && p.id !== ich.id && p.aktiv !== false);
|
||||
if (!drin.length) continue;
|
||||
const g = document.createElement('optgroup');
|
||||
g.label = name;
|
||||
for (const p of drin) g.append(new Option(p.name, String(p.id)));
|
||||
s.append(g);
|
||||
}
|
||||
if (aktiv) s.value = String(aktiv);
|
||||
/* Stand die gemerkte Person nicht mehr in der Liste (geloescht oder
|
||||
abgeschaltet), faellt die Auswahl zurueck -- sonst zeigte das Feld
|
||||
"Alles" und die Seiten trotzdem eine fremde Sicht. */
|
||||
if (aktiv && s.value !== String(aktiv)) { aktiv = 0; schreiben(0); }
|
||||
|
||||
s.addEventListener('change', () => {
|
||||
aktiv = Number(s.value) || 0;
|
||||
schreiben(aktiv);
|
||||
/* Neu laden statt jede Seite einzeln zu benachrichtigen: Jede
|
||||
Seite baut sich beim Laden ohnehin vollstaendig auf, und ein
|
||||
halb umgestellter Bildschirm waere schlimmer als eine kurze
|
||||
Pause. */
|
||||
location.reload();
|
||||
});
|
||||
feld.append(s);
|
||||
|
||||
/* Ein deutlicher Hinweis, SOLANGE eine fremde Sicht aktiv ist.
|
||||
Ohne ihn ist der gefaehrlichste Fall dieser Funktion: Man vergisst
|
||||
die Auswahl, sieht am naechsten Tag drei Aufgaben statt dreissig
|
||||
und haelt das fuer den Bestand. */
|
||||
if (aktiv) {
|
||||
feld.dataset.fremd = 'ja';
|
||||
const zurueck = el('button', 'sicht__weg', 'zurück zu mir');
|
||||
zurueck.type = 'button';
|
||||
zurueck.addEventListener('click', () => { schreiben(0); location.reload(); });
|
||||
feld.append(zurueck);
|
||||
document.body.dataset.fremdeSicht = 'ja';
|
||||
}
|
||||
|
||||
kopf.prepend(feld);
|
||||
};
|
||||
|
||||
/* An werZeigen anhaengen: Jede Seite ruft es ohnehin auf, sobald sie
|
||||
weiss, wer angemeldet ist. Damit ist der Umschalter wirklich auf
|
||||
JEDER Seite da, ohne dass eine davon eine Zeile bekommt. */
|
||||
let gerufen = false;
|
||||
const vorher = window.werZeigen;
|
||||
window.werZeigen = function (ich) {
|
||||
gerufen = true;
|
||||
vorher?.(ich);
|
||||
window.sichtAufbauen(ich);
|
||||
};
|
||||
|
||||
/* DAS NETZ DARUNTER.
|
||||
|
||||
"Jede Seite ruft es ohnehin auf" stimmte nicht ganz: steckbrief.html
|
||||
tat es nie, und deshalb stand dort oben rechts monatelang "…" statt
|
||||
des eigenen Namens. Gefunden hat es nicht das Auge, sondern eine
|
||||
Pruefung, die den Umschalter auf ALLEN Seiten verlangt hat.
|
||||
|
||||
Ein Fehler, der einmal passiert ist, passiert wieder -- die
|
||||
naechste neue Seite vergisst dieselbe Zeile. Meldet sich also nach
|
||||
kurzer Zeit niemand, holt der Kopf sich selbst, wer angemeldet ist.
|
||||
Im Normalfall kostet das nichts: Dann war jemand schneller, und
|
||||
diese Abfrage findet gar nicht erst statt. */
|
||||
setTimeout(async () => {
|
||||
if (gerufen || !document.getElementById('wer')) return;
|
||||
try {
|
||||
const a = await echtesFetch('/workspace/api/ich', { credentials: 'same-origin' });
|
||||
if (a.ok) window.werZeigen(await a.json());
|
||||
} catch { /* nicht angemeldet -- die Seite leitet ohnehin um */ }
|
||||
}, 1200);
|
||||
})();
|
||||
|
||||
Reference in New Issue
Block a user