Personen & Zugaenge auf der Team-Seite -- und eine Rolle laesst sich endlich aendern

Filipe wollte VanVan die Rolle "Rechte Hand" geben. Auf die Frage nach
ihrem Code: "die kategorie personen & zugaenge fehlt also muss das
hinzugefuegt werden und bitte nur basiert auf diese seite."

BEIM NACHSEHEN KAMEN ZWEI DINGE HERAUS, und das zweite war das
eigentliche:

  Die Kachel fehlte, weil ich sie mit den Agenturkacheln entfernt hatte
  -- ausgerechnet die, mit der man jemandem eine Rolle gibt. Die
  Team-Adresse war damit eine Seite, auf der man das Team nicht
  verwalten kann.

  UND ES GAB DIE FUNKTION GAR NICHT. Im ganzen Server aendert keine
  einzige Stelle `personen.rolle`. Anlegen ja, sperren ja, loeschen ja
  -- aendern nirgends, seit dem ersten Tag. Wer jemandem eine andere
  Aufgabe geben wollte, musste ihn loeschen und neu anlegen, und daran
  haengen seine Aufgaben, seine Nachrichten, seine Eintraege, sein
  ganzer Verlauf. Kapitel 4 des Pflichtenhefts verlangt ausdruecklich
  das Gegenteil.

  (Nebenbefund aus derselben Messung, ihm gemeldet: Auf dem Server gibt
  es KEINE Rolle 'hand'. VanVan ist ein zweiter DogFather-Zugang. Die
  Rueckmeldungen mit "nur an DogFather" wuerde sie deshalb heute
  mitlesen -- die Regel fragt "ist das DogFather?", und ihre Rolle
  antwortet ja.)

DIE KACHEL traegt Namen, Zeichen und Farbton der Agenturseite. Es ist
dieselbe Seite mit demselben Zweck; ein zweiter Name dafuer waere ein
zweites Ding, das es nicht gibt.

SIE STEHT NUR DORT, WO SIE AUCH FUNKTIONIERT. Die Personenseite haengt
serverseitig an `nurAdmin`. In der Kachelliste der rechten Hand haette
sie auf eine 404 gefuehrt -- ein Knopf, der eine Absage bringt, ist
schlimmer als kein Knopf. Wenn sie das duerfen soll, ist das eine
eigene Entscheidung und gehoert an dieselbe Stelle wie nurAdmin.

"NUR BASIERT AUF DIESE SEITE" steht nicht in der Kachel, sondern im
Server: Auf crew. liefert die Liste nur Team Dogi, und angelegt werden
koennen nur Team-Rollen. Beides kommt aus Funktionen, die es schon gab
(hausBedingung, darfAnlegen) -- und `darfAnlegen` baut auch die Knoepfe
in der Oberflaeche, weshalb die anderen Rollen dort von selbst
verschwinden statt eine Absage zu bringen.

DER ROLLENWECHSEL HAT FUENF SICHERUNGEN, und jede hat ihren Grund:

  NUR DOGFATHER -- wer Rollen vergeben kann, kann sich selbst zum
  DogFather machen.

  NIE DIE EIGENE. Wer sich selbst herabstuft, sperrt sich aus; die
  Funktion zum Zurueckdrehen haengt an der Rolle, die er gerade
  abgegeben hat. Das ist keine Warnung wert, das ist eine Tuer, die
  zubleibt.

  NIE DEN LETZTEN AKTIVEN DOGFATHER. Gezaehlt werden die AKTIVEN: Ein
  gesperrter kann niemanden hereinlassen, ihn mitzuzaehlen waere eine
  Sicherung, die sich selbst beluegt.

  ALLE SITZUNGEN DIESER PERSON ENDEN. Eine Sitzung gehoert seit dem
  10.09.2026 zu einer ADRESSE, und welche das ist, entscheidet die
  Rolle. Wer eben noch DogFather war und jetzt rechte Hand ist, saesse
  sonst mit einer Sitzung da, die auf der Agenturadresse laeuft und
  dort nicht mehr hingehoert -- ein halb gueltiger Zustand, der erst
  beim naechsten Klick auffaellt.

  DER CODE BLEIBT. Er haengt am Menschen, nicht an der Rolle. Ihn
  mitzutauschen waere bequem und falsch: Dann muesste jede
  Rollenaenderung von einem Gespraech begleitet sein, und wer das
  vergisst, sperrt jemanden aus, ohne es zu merken.

Und es steht im Protokoll, mit beiden Rollen im Klartext.

DIE AUSWAHL IM BROWSER wird nicht noch einmal gebaut, sondern aus dem
Anlege-Formular gelesen. Dort stehen genau die Rollen, die der Server
dieser Person zugesteht -- einschliesslich derer, die in keiner
ausgelieferten Datei stehen duerfen und erst nachtraeglich dazukommen.
Eine zweite Liste waere die, in der eine Rolle fehlt oder eine zu viel
steht, und beides faellt erst auf, wenn jemand sie braucht.

EINE PRUEFUNG WAR WERTLOS UND IST ES NICHT MEHR: "ihre Sitzungen sind
beendet" lief gegen einen leeren Bestand -- ein gruener Haken ueber
einer Null. Jetzt meldet sich die Person vorher an, und die Zahl davor
muss groesser als null sein.

pruef-haus-trennung 32 -> 53 · pruef-rollen 277 · pruef-personen-formular
27 · pruef-css-klassen 30 · pruef-start-ansicht 143 ·
pruef-modi-verborgen 78 · pruef-modi-wortleck 5.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/pruef-haus-trennung.mjs

@@ -330,7 +330,148 @@ console.log("=== Der Ring und die Hinweise ===");
 }
 
 /* =======================================================================
-   9. Die Gegenprobe zur Regel selbst
+   9. Personen & Zugaenge -- auf der Team-Seite nur das Team
+   =======================================================================
+
+   Filipe: "die kategorie personen & zugaenge fehlt also muss das
+   hinzugefuegt werden und bitte nur basiert auf diese seite."
+
+   Sie fehlte, weil sie mit den Agenturkacheln verschwunden ist -- und
+   ausgerechnet sie ist die, mit der man jemandem eine Rolle gibt.
+   ======================================================================= */
+console.log("");
+console.log("=== Personen & Zugaenge ===");
+{
+  const a = await beide("/workspace/api/ich", dogi.keks);
+  const namen = (x) => (x?.bereiche || []).map((k) => k.name);
+  ok(namen(a.crew).includes("Personen & Zugänge"),
+    `die Kachel steht auf crew. (${namen(a.crew).length} Kacheln)`);
+
+  /* Und NICHT bei der rechten Hand: Die Seite haengt serverseitig an
+     nurAdmin, ein Knopf dorthin brachte ihr eine Absage. */
+  const h = await hole("/workspace/api/ich", { host: CREW, keks: hand.keks });
+  ok(!(h.daten?.bereiche || []).map((k) => k.name).includes("Personen & Zugänge"),
+    "und nicht bei der rechten Hand -- sie darf die Seite nicht");
+  const hZugriff = await hole("/workspace/api/verwaltung/personen", { host: CREW, keks: hand.keks });
+  ok(hZugriff.status === 404,
+    `die Seite selbst weist sie ab (${hZugriff.status}) -- die Kachel haette sie belogen`);
+
+  const liste = await beide("/workspace/api/verwaltung/personen", dogi.keks);
+  const wer = (x) => (x?.personen || []).map((p) => p.name);
+  ok(wer(liste.crew).includes("Ayla") && wer(liste.crew).includes("VanVan"),
+    `auf crew. steht das Team (${wer(liste.crew).join(", ") || "leer"})`);
+  ok(!wer(liste.crew).some((n) => ["Luna", "Cigdem", "Patrick"].includes(n)),
+    "und niemand aus der Agentur");
+  ok(["Luna", "Cigdem", "Patrick", "Ayla"].every((n) => wer(liste.ws).includes(n)),
+    `auf workspace. stehen alle (${wer(liste.ws).length})`);
+
+  /* Die anlegbaren Rollen kommen aus derselben Auskunft, aus der die
+     Oberflaeche ihre Knoepfe baut. Auf crew. duerfen es nur Team-Rollen
+     sein -- sonst legt man dort versehentlich einen Creator an und
+     findet ihn erst auf der anderen Seite wieder. */
+  const neuCrew = await hole("/workspace/api/verwaltung/personen", { host: CREW,
+    methode: "POST", keks: dogi.keks,
+    rumpf: JSON.stringify({ name: "Testcreator", rolle: "creator" }) });
+  ok(neuCrew.status === 403,
+    `ein Creator laesst sich auf crew. nicht anlegen (${neuCrew.status})`);
+  /* GEGENPROBE: Auf der Agenturadresse geht genau das. Ohne sie hiesse
+     die 403 oben auch dann gruen, wenn Anlegen ueberhaupt kaputt waere. */
+  const neuWs = await hole("/workspace/api/verwaltung/personen", { host: WS,
+    methode: "POST", keks: dogi.keks,
+    rumpf: JSON.stringify({ name: "Testcreator", rolle: "creator" }) });
+  ok(neuWs.status === 201, `auf workspace. geht es (${neuWs.status})`);
+}
+
+/* =======================================================================
+   10. Eine Rolle aendern -- es gab die Funktion gar nicht
+   =======================================================================
+
+   Beim Suchen nach "wie gebe ich VanVan die Rolle Rechte Hand" kam
+   heraus: Es gibt im ganzen Server keine Stelle, die `personen.rolle`
+   aendert. Anlegen ja, sperren ja, loeschen ja -- aendern nirgends. Wer
+   jemandem eine andere Aufgabe geben wollte, musste ihn loeschen und
+   neu anlegen, und daran haengen Aufgaben, Nachrichten und Eintraege.
+   ======================================================================= */
+console.log("");
+console.log("=== Die Rolle aendern ===");
+{
+  const weg = "/workspace/api/verwaltung/personen";
+
+  /* Erst die Sicherungen, dann der Erfolgsfall -- sonst pruefe ich sie
+     auf einem Bestand, den der Erfolgsfall schon veraendert hat. */
+  const selbst = await hole(`${weg}/${idDogi}/rolle`, { host: CREW, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "hand" }) });
+  ok(selbst.status === 400, `die eigene Rolle laesst sich nicht aendern (${selbst.status})`);
+
+  const erfunden = await hole(`${weg}/${idModi}/rolle`, { host: CREW, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "gibtsnicht" }) });
+  ok(erfunden.status === 400, `eine erfundene Rolle wird abgelehnt (${erfunden.status})`);
+
+  const gleich = await hole(`${weg}/${idModi}/rolle`, { host: CREW, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "modi" }) });
+  ok(gleich.status === 400, `dieselbe Rolle noch einmal: abgelehnt (${gleich.status})`);
+
+  /* Auf der Team-Adresse laesst sich niemand zum Creator machen -- die
+     Rollen kommen aus derselben Auskunft wie beim Anlegen. */
+  const fremd = await hole(`${weg}/${idModi}/rolle`, { host: CREW, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "creator" }) });
+  ok(fremd.status === 403, `auf crew. auch nicht zum Creator (${fremd.status})`);
+
+  /* DER LETZTE DOGFATHER. Es gibt genau einen -- VanVan ist in dieser
+     Pruefung schon die rechte Hand. Also einen zweiten anlegen, den
+     ersten darf man dann herabstufen, den zweiten nicht mehr. */
+  const zweiter = await hole(weg, { host: WS, methode: "POST", keks: dogi.keks,
+    rumpf: JSON.stringify({ name: "Zweitzugang", rolle: "admin" }) });
+  const idZweit = zweiter.daten?.id;
+  ok(zweiter.status === 201 && idZweit > 0, `ein zweiter DogFather-Zugang (${zweiter.status})`);
+
+  const runter = await hole(`${weg}/${idZweit}/rolle`, { host: WS, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "scout" }) });
+  ok(runter.status === 200, `solange es zwei gibt, darf einer wechseln (${runter.status})`);
+
+  const letzter = await hole(`${weg}/${idDogi}/rolle`, { host: WS, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "scout" }) });
+  ok(letzter.status === 400, `der letzte nicht mehr (${letzter.status})`);
+
+  /* DER ERFOLGSFALL, und was daran haengt. */
+  /* SIE MUSS ANGEMELDET SEIN, sonst prueft "die Sitzungen sind
+     beendet" gar nichts. Beim ersten Lauf stand hier `>= 0` und eine
+     Null -- ein gruener Haken ueber einem leeren Bestand. Genau die
+     Sorte Pruefung, die immer bestaetigt und deshalb nichts
+     bestaetigt. */
+  await anmelden("modi", "CODE-TEAM-0001", CREW);
+  const sitzungenVorher = d.prepare(
+    "SELECT COUNT(*) AS n FROM sitzungen WHERE person_id = ?").get(idModi).n;
+  ok(sitzungenVorher > 0, `Ayla ist angemeldet (${sitzungenVorher} Sitzung(en))`);
+
+  const um = await hole(`${weg}/${idModi}/rolle`, { host: CREW, methode: "PUT",
+    keks: dogi.keks, rumpf: JSON.stringify({ rolle: "hand" }) });
+  ok(um.status === 200, `aus dem Teammitglied wird die rechte Hand (${um.status})`);
+  const jetztRolle = d.prepare("SELECT rolle FROM personen WHERE id = ?").get(idModi)?.rolle;
+  ok(jetztRolle === "hand", `und es steht so in der Datenbank (${jetztRolle})`);
+
+  /* SICHERUNG 4: Die Sitzungen sind weg. Eine Sitzung gehoert zu einer
+     ADRESSE, und welche das ist, entscheidet die Rolle. */
+  const nachher = d.prepare(
+    "SELECT COUNT(*) AS n FROM sitzungen WHERE person_id = ?").get(idModi).n;
+  ok(nachher === 0, `ihre Sitzungen sind beendet (${nachher})`);
+
+  /* SICHERUNG 5: Der Code bleibt. Er haengt am Menschen, nicht an der
+     Rolle -- ihn mitzutauschen hiesse, jemanden auszusperren, ohne es
+     zu merken. */
+  const code = d.prepare("SELECT code_hash FROM personen WHERE id = ?").get(idModi)?.code_hash;
+  ok(!!code && code.length > 20, "der Zugangscode ist unveraendert");
+
+  /* Und es steht im Protokoll. Eine Rechteaenderung ohne Spur waere
+     genau die, nach der spaeter niemand mehr fragen kann. */
+  const spur = d.prepare(
+    "SELECT detail FROM protokoll WHERE aktion = 'rolle_geaendert' ORDER BY id DESC LIMIT 1").get();
+  ok(/modi -> hand/.test(spur?.detail || ""),
+    `das Protokoll nennt beide Rollen (${spur?.detail || "kein Eintrag"})`);
+}
+
+/* =======================================================================
+   11. Die Gegenprobe zur Regel selbst
    ======================================================================= */
 console.log("");
 console.log("=== Haengt es wirklich an der Adresse? ===");