Audit des Creator Workspace, App-Symbole fuer alle Apps der Domain

AUDIT (Auftrag: vollstaendiger Durchgang, Fehler direkt beheben)

Ausgangslage waren 40 Pruefungen mit 1616 Einzelpunkten, alle gruen.
Acht neue Pruefungen kamen dazu; sie haben gefunden, was die alten nicht
sehen konnten.

Der schwerste Fund: Die Zugangsschranke verglich req.path EXAKT gegen
eine Liste. Express raeumt Punkt-Segmente selbst weg, mehrfache
Schraegstriche aber nicht. Damit kam //workspace/start.html OHNE
Anmeldung mit HTTP 200, und ein Creator bekam ueber
/workspace//personen.html die Verwaltungsseite. Die DATEN waren nie
betroffen (nachgemessen: 404 bzw. 401). Behoben durch Normalisierung
UND eine Umkehr der Logik -- jetzt ist jede .html geschuetzt ausser der
Anmeldeseite, statt nur die in der Liste. Eine vergessene neue Seite
steht damit nicht mehr versehentlich offen.

Weiter behoben:
  * Kaputter/abgebrochener Rumpf ergab 500 in HTML statt 400 in JSON --
    die Oberflaeche ruft ueberall a.json() und lief in einen zweiten
    Fehler; der Knopf hing ohne Meldung.
  * POST /zustand/sichern war der einzige von 60 schreibenden Wegen
    ohne Herkunftspruefung.
  * workspace-sicherung.js gab interne Pfade in Fehlermeldungen nach
    aussen; alle 23 anderen Module antworten neutral.
  * admin_notiz war als einziges von 14 Feldern ohne <label>.
  * Der aktive Filter hatte keinen sichtbaren Fokus (CSS-Spezifitaet
    0,3,0 schlug 0,2,0) -- genau der Knopf, auf dem man steht.
  * h1 -> h3 ohne Zwischenstufe auf zwei Seiten.
  * HSTS ging auch ueber http mit (RFC 6797, 7.2 verbietet das).
  * upgrade-insecure-requests galt auch auf 127.0.0.1 -- dadurch war
    WebKit/Safari ueberhaupt nicht pruefbar, also der Browser, den
    jedes iPhone benutzt.
  * pruef-grosscheck las readdirSync(".") und pruefte aus server/
    gestartet NULL oeffentliche Seiten -- meldete aber "ok".

Neue Pruefungen: struktur, schranke, haerte, alle-wege,
barrierefrei-workspace, breiten, tempo-workspace, browser.
Jede mit Gegenprobe und mit der geprueften Anzahl in der Bedingung.
Vier davon sind beim Bauen durch die eigene Gegenprobe aufgeflogen und
haetten sonst dauerhaft gruen gemeldet, ohne etwas zu messen.

APP-SYMBOLE (Wunsch: alle Apps der Domain, jede anders, ausser
safeaddress)

Zehn Apps, zehn Stile, zehn in OKLCH gerechnete Farben. Zusammen haelt
sie dasselbe Logo, dieselbe Eckenrundung und eine gemeinsame gedeckte
Farbreihe. Beim Bauen wird gemessen, ob sich das Logo vom Grund abhebt
(19 bis 58 Helligkeitsstufen).

Dabei aufgefallen: Das Kundenportal hatte kein eigenes Manifest und
trug Namen und Symbol der Webdesign-Seite. Der Workspace hatte gar
keins und war als App nicht installierbar. Beide haben jetzt eins.

Geaendert wurde AUSSCHLIESSLICH das Symbol. Ein Zwischenstand hatte
auch die Themenfarben gesetzt; das war mehr als bestellt und wurde
zurueckgenommen.

Werkzeuge: tools/logo-freistellen.mjs, tools/app-symbole.mjs,
tools/app-symbole-einbinden.mjs -- alles im Browser gerechnet, kein
Bildprogramm, keine neue Abhaengigkeit.

Gitea und Nextcloud sind bereits live und nachgeprueft.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace.js

@@ -903,11 +903,68 @@ const GESCHUETZT = {
   "/workspace/automation.html": ["admin"],
 };
 
+/* Die einzige Seite unter /workspace, die offen sein MUSS -- man kann
+   sich schlecht anmelden, wenn die Anmeldeseite eine Anmeldung verlangt. */
+const OFFEN = new Set(["/workspace/index.html"]);
+
+/** Der Pfad, wie ihn die Schranke ansehen muss.
+ *
+ *  BEFUND VOM 04.09.2026 (Audit). Der erste Entwurf verglich `req.path`
+ *  direkt gegen die Liste -- ein EXAKTER Vergleich. Express raeumt
+ *  Punkt-Segmente selbst weg (`/workspace/./start.html` und
+ *  `/workspace/x/../start.html` kommen bereits zurechtgerueckt an), aber
+ *  MEHRFACHE SCHRAEGSTRICHE nicht. Gemessen:
+ *
+ *      /workspace/start.html    -> req.path /workspace/start.html
+ *      //workspace/start.html   -> req.path //workspace/start.html
+ *      /workspace//start.html   -> req.path /workspace//start.html
+ *
+ *  Der Listenvergleich traf damit nicht, die Anfrage lief ungeprueft an
+ *  express.static weiter -- und das zieht die Schraegstriche seinerseits
+ *  zusammen und liefert die Datei aus. Ergebnis: `//workspace/start.html`
+ *  kam OHNE ANMELDUNG mit HTTP 200, und ein Creator bekam ueber
+ *  `/workspace//personen.html` die Verwaltungsseite. Das ist derselbe
+ *  Befund wie am 27.08.2026 ("sichtbar sein soll sie gar nicht"), nur
+ *  eine Schreibweise weiter -- der Fix von damals deckte genau eine ab.
+ *
+ *  Nicht betroffen waren die DATEN: Bei doppeltem Schraegstrich trifft
+ *  keine der /workspace/api-Routen mehr (404), und wo sie trifft, greift
+ *  ihre eigene Schranke (401). Nachgemessen, nicht angenommen.
+ *
+ *  Kleinschreibung kommt dazu, weil ein case-unempfindliches Dateisystem
+ *  (Windows, macOS) `PERSONEN.HTML` an dieselbe Datei weiterreicht. Auf
+ *  dem Linux-Server greift das nicht, hier im Test schon -- und eine
+ *  Schranke, die nur auf einem Dateisystem haelt, ist keine.
+ *
+ *  Abschliessende Punkte und Leerzeichen fallen weg: Windows oeffnet
+ *  `start.html.` als `start.html`. */
+function schrankenPfad(roh) {
+  return String(roh || "")
+    .replace(/\/{2,}/g, "/")          // // -> /
+    .replace(/[.\s]+$/, (ende) =>     // abschliessende Punkte/Leerzeichen
+      ende.includes(".") && !/^\.[a-z]/i.test(ende) ? "" : ende)
+    .toLowerCase();
+}
+
+/* GESCHUETZT IST JETZT DIE AUSNAHME, NICHT DIE REGEL.
+
+   Vorher galt: Was in der Liste steht, ist geschuetzt -- alles andere
+   nicht. Wer eine neue Seite anlegt und den Eintrag vergisst, stellt sie
+   damit offen ins Netz, ohne dass irgendwo etwas rot wird. Genau diese
+   Sorte Fehler faellt erst auf, wenn jemand danach sucht.
+
+   Jetzt gilt: JEDE .html unter /workspace ist geschuetzt, ausser den
+   ausdruecklich offenen. Die Liste oben sagt nur noch, WELCHE ROLLEN
+   zusaetzlich eingeschraenkt sind. Eine neue Seite ist dadurch von
+   selbst mindestens "nur fuer Angemeldete" -- der sichere Rueckfall. */
 workspaceRouter.use((req, res, next) => {
-  if (!Object.hasOwn(GESCHUETZT, req.path)) return next();
+  const pfad = schrankenPfad(req.path);
+  if (!pfad.startsWith("/workspace/") || !pfad.endsWith(".html")) return next();
+  if (OFFEN.has(pfad)) return next();
+
   const person = sitzungLesen(req);
   if (!person) return res.redirect(302, "/workspace/");
-  const erlaubt = GESCHUETZT[req.path];
+  const erlaubt = GESCHUETZT[pfad];
   if (erlaubt && !erlaubt.includes(person.rolle)) {
     return res.redirect(302, "/workspace/start.html");
   }