Personen & Zugaenge auf der Team-Seite -- und eine Rolle laesst sich endlich aendern

Filipe wollte VanVan die Rolle "Rechte Hand" geben. Auf die Frage nach
ihrem Code: "die kategorie personen & zugaenge fehlt also muss das
hinzugefuegt werden und bitte nur basiert auf diese seite."

BEIM NACHSEHEN KAMEN ZWEI DINGE HERAUS, und das zweite war das
eigentliche:

  Die Kachel fehlte, weil ich sie mit den Agenturkacheln entfernt hatte
  -- ausgerechnet die, mit der man jemandem eine Rolle gibt. Die
  Team-Adresse war damit eine Seite, auf der man das Team nicht
  verwalten kann.

  UND ES GAB DIE FUNKTION GAR NICHT. Im ganzen Server aendert keine
  einzige Stelle `personen.rolle`. Anlegen ja, sperren ja, loeschen ja
  -- aendern nirgends, seit dem ersten Tag. Wer jemandem eine andere
  Aufgabe geben wollte, musste ihn loeschen und neu anlegen, und daran
  haengen seine Aufgaben, seine Nachrichten, seine Eintraege, sein
  ganzer Verlauf. Kapitel 4 des Pflichtenhefts verlangt ausdruecklich
  das Gegenteil.

  (Nebenbefund aus derselben Messung, ihm gemeldet: Auf dem Server gibt
  es KEINE Rolle 'hand'. VanVan ist ein zweiter DogFather-Zugang. Die
  Rueckmeldungen mit "nur an DogFather" wuerde sie deshalb heute
  mitlesen -- die Regel fragt "ist das DogFather?", und ihre Rolle
  antwortet ja.)

DIE KACHEL traegt Namen, Zeichen und Farbton der Agenturseite. Es ist
dieselbe Seite mit demselben Zweck; ein zweiter Name dafuer waere ein
zweites Ding, das es nicht gibt.

SIE STEHT NUR DORT, WO SIE AUCH FUNKTIONIERT. Die Personenseite haengt
serverseitig an `nurAdmin`. In der Kachelliste der rechten Hand haette
sie auf eine 404 gefuehrt -- ein Knopf, der eine Absage bringt, ist
schlimmer als kein Knopf. Wenn sie das duerfen soll, ist das eine
eigene Entscheidung und gehoert an dieselbe Stelle wie nurAdmin.

"NUR BASIERT AUF DIESE SEITE" steht nicht in der Kachel, sondern im
Server: Auf crew. liefert die Liste nur Team Dogi, und angelegt werden
koennen nur Team-Rollen. Beides kommt aus Funktionen, die es schon gab
(hausBedingung, darfAnlegen) -- und `darfAnlegen` baut auch die Knoepfe
in der Oberflaeche, weshalb die anderen Rollen dort von selbst
verschwinden statt eine Absage zu bringen.

DER ROLLENWECHSEL HAT FUENF SICHERUNGEN, und jede hat ihren Grund:

  NUR DOGFATHER -- wer Rollen vergeben kann, kann sich selbst zum
  DogFather machen.

  NIE DIE EIGENE. Wer sich selbst herabstuft, sperrt sich aus; die
  Funktion zum Zurueckdrehen haengt an der Rolle, die er gerade
  abgegeben hat. Das ist keine Warnung wert, das ist eine Tuer, die
  zubleibt.

  NIE DEN LETZTEN AKTIVEN DOGFATHER. Gezaehlt werden die AKTIVEN: Ein
  gesperrter kann niemanden hereinlassen, ihn mitzuzaehlen waere eine
  Sicherung, die sich selbst beluegt.

  ALLE SITZUNGEN DIESER PERSON ENDEN. Eine Sitzung gehoert seit dem
  10.09.2026 zu einer ADRESSE, und welche das ist, entscheidet die
  Rolle. Wer eben noch DogFather war und jetzt rechte Hand ist, saesse
  sonst mit einer Sitzung da, die auf der Agenturadresse laeuft und
  dort nicht mehr hingehoert -- ein halb gueltiger Zustand, der erst
  beim naechsten Klick auffaellt.

  DER CODE BLEIBT. Er haengt am Menschen, nicht an der Rolle. Ihn
  mitzutauschen waere bequem und falsch: Dann muesste jede
  Rollenaenderung von einem Gespraech begleitet sein, und wer das
  vergisst, sperrt jemanden aus, ohne es zu merken.

Und es steht im Protokoll, mit beiden Rollen im Klartext.

DIE AUSWAHL IM BROWSER wird nicht noch einmal gebaut, sondern aus dem
Anlege-Formular gelesen. Dort stehen genau die Rollen, die der Server
dieser Person zugesteht -- einschliesslich derer, die in keiner
ausgelieferten Datei stehen duerfen und erst nachtraeglich dazukommen.
Eine zweite Liste waere die, in der eine Rolle fehlt oder eine zu viel
steht, und beides faellt erst auf, wenn jemand sie braucht.

EINE PRUEFUNG WAR WERTLOS UND IST ES NICHT MEHR: "ihre Sitzungen sind
beendet" lief gegen einen leeren Bestand -- ein gruener Haken ueber
einer Null. Jetzt meldet sich die Person vorher an, und die Zahl davor
muss groesser als null sein.

pruef-haus-trennung 32 -> 53 · pruef-rollen 277 · pruef-personen-formular
27 · pruef-css-klassen 30 · pruef-start-ansicht 143 ·
pruef-modi-verborgen 78 · pruef-modi-wortleck 5.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace-personen.js

@@ -15,7 +15,7 @@
 
 import express from "express";
 import {
-  db, protokolliere, echteIp, sitzungLesen, personAnlegen, codeNeu, sitzungToken, personSperren, betreuungSetzen, scoutZuteilungSetzen, istLeitung, istDogFather, siehtAlles, ROLLEN_SORTIERUNG, ROLLEN_REIHE, istSpicy, verborgeneIds, TEAM_DOGI_ROLLEN, darfAnlegen,
+  db, protokolliere, echteIp, sitzungLesen, personAnlegen, codeNeu, sitzungToken, personSperren, betreuungSetzen, scoutZuteilungSetzen, istLeitung, istDogFather, siehtAlles, ROLLEN_SORTIERUNG, ROLLEN_REIHE, istSpicy, verborgeneIds, TEAM_DOGI_ROLLEN, darfAnlegen, hausBedingung,
 } from "./workspace.js";
 import { sicherungJetzt } from "./workspace-sicherung.js";
 
@@ -193,6 +193,7 @@ personenRouter.get("/workspace/api/verwaltung/personen", (req, res) => {
         FROM personen p
         LEFT JOIN betreuung b ON b.creator_id = p.id
         LEFT JOIN scout_zuteilung sz ON sz.scout_id = p.id
+        WHERE 1=1${hausBedingung(req.person, "p.rolle")}
         ORDER BY ${ROLLEN_SORTIERUNG.replace("rolle", "p.rolle")}, p.aktiv DESC, p.name`)
         .all().filter((z) => !weg.has(z.id)),
       /* Wer ueberhaupt als zustaendig eingetragen werden kann.
@@ -691,6 +692,109 @@ personenRouter.post("/workspace/api/verwaltung/personen/:id/code", gleicheHerkun
   }
 });
 
+/* =====================================================================
+   DIE ROLLE EINES MENSCHEN AENDERN (10.09.2026)
+
+   Filipe wollte VanVan die Rolle "Rechte Hand" geben -- und konnte
+   nicht. Beim Nachsehen: Es gibt im ganzen Server KEINE einzige Stelle,
+   die `personen.rolle` aendert. Anlegen ja, sperren ja, loeschen ja;
+   die Rolle war ab dem ersten Tag in Stein.
+
+   Das ist kein Schoenheitsfehler. Ohne diese Funktion bleibt nur, den
+   Menschen zu loeschen und neu anzulegen -- und daran haengen seine
+   Aufgaben, seine Nachrichten, seine Eintraege, sein ganzer Verlauf.
+   Kapitel 4 des Pflichtenhefts verlangt ausdruecklich das Gegenteil:
+   "Rolle/Kategorie zuweisen".
+
+   ---------------------------------------------------------------------
+   FUENF SICHERUNGEN, UND JEDE HAT IHREN GRUND
+
+   1. NUR DOGFATHER. Wie beim Anlegen. Wer Rollen vergeben kann, kann
+      sich selbst zum DogFather machen -- deshalb haengt die ganze
+      Verwaltung an `nurAdmin`, und diese Route erst recht.
+
+   2. NIE DIE EIGENE. Wer sich selbst herabstuft, sperrt sich aus dem
+      Haus aus, und niemand kann es rueckgaengig machen -- die Funktion
+      dafuer haengt ja an der Rolle, die er gerade abgegeben hat. Das
+      ist keine Warnung wert, das ist eine Tuer, die zubleibt.
+
+   3. NIE DEN LETZTEN DOGFATHER. Dieselbe Ueberlegung eine Ebene weiter,
+      und dieselbe wie beim Sperren darunter: Ohne einen aktiven
+      DogFather gibt es niemanden mehr, der Zugaenge vergibt.
+
+   4. ALLE SITZUNGEN DIESER PERSON ENDEN. Eine Sitzung gehoert seit dem
+      10.09.2026 zu einer ADRESSE, und welche das ist, entscheidet die
+      Rolle (sitzungPasstZurAdresse). Wer eben noch DogFather war und
+      jetzt rechte Hand ist, sitzt sonst mit einer Sitzung da, die auf
+      der Agenturadresse laeuft und dort nicht mehr hingehoert. Das
+      faellt beim naechsten Klick auf, nicht sofort -- und ein halb
+      gueltiger Zustand ist das Unangenehmste, was eine Rechteaenderung
+      hinterlassen kann.
+
+   5. DER CODE BLEIBT. Er haengt am Menschen, nicht an der Rolle. Ihn
+      hier mitzutauschen waere bequem und falsch: Dann muesste jede
+      Rollenaenderung von einem Gespraech begleitet sein ("dein Zugang
+      ist ein anderer"), und wer das vergisst, sperrt jemanden aus,
+      ohne es zu merken. Wer einen neuen Code will, hat den Knopf
+      daneben.
+   ===================================================================== */
+personenRouter.put("/workspace/api/verwaltung/personen/:id/rolle", gleicheHerkunft,
+  (req, res) => {
+    try {
+      const id = Number(req.params.id);
+      const rolle = String(req.body?.rolle ?? "");
+      if (!Number.isInteger(id)) return res.status(400).json({ fehler: "ungueltig" });
+
+      const person = db().prepare("SELECT id, name, rolle, aktiv FROM personen WHERE id = ?").get(id);
+      if (!person) return res.status(404).json({ fehler: "nicht_gefunden" });
+
+      /* Dieselbe Auskunft wie beim Anlegen: Wer eine Rolle nicht
+         vergeben darf, darf sie auch nicht zuweisen. Sonst waere das
+         Zuweisen der bequemere Weg an der Regel vorbei. */
+      if (!ROLLEN.includes(rolle)) return res.status(400).json({ fehler: "Unbekannte Rolle." });
+      if (!darfAnlegen(req.person).includes(rolle)) {
+        return res.status(403).json({ fehler: "Diese Rolle vergibst du nicht." });
+      }
+      if (person.rolle === rolle) {
+        return res.status(400).json({ fehler: "Diese Rolle hat sie schon." });
+      }
+
+      /* SICHERUNG 2 */
+      if (id === req.person.id) {
+        return res.status(400).json({ fehler: "Die eigene Rolle lässt sich nicht ändern.",
+          hinweis: "Sonst könntest du dich selbst aussperren, ohne es rückgängig machen zu können." });
+      }
+
+      /* SICHERUNG 3 -- gezaehlt werden die AKTIVEN. Ein gesperrter
+         DogFather kann niemanden hereinlassen; ihn mitzuzaehlen waere
+         eine Sicherung, die sich selbst belügt. */
+      if (person.rolle === "admin" && rolle !== "admin") {
+        const uebrig = db().prepare(
+          "SELECT COUNT(*) AS n FROM personen WHERE rolle = 'admin' AND aktiv = 1 AND id <> ?")
+          .get(id).n;
+        if (uebrig < 1) {
+          return res.status(400).json({ fehler: "Das ist der letzte DogFather-Zugang." });
+        }
+      }
+
+      const vorher = person.rolle;
+      db().prepare("UPDATE personen SET rolle = ? WHERE id = ?").run(rolle, id);
+
+      /* SICHERUNG 4 */
+      const raus = db().prepare("DELETE FROM sitzungen WHERE person_id = ?").run(id);
+
+      protokolliere("rolle_geaendert", {
+        personId: req.person.id, rolle: req.person.rolle, ip: echteIp(req),
+        detail: `#${id} ${person.name}: ${vorher} -> ${rolle}`.slice(0, 120),
+      });
+      res.json({ id, name: person.name, vorher, rolle,
+        abgemeldet: Number(raus.changes || 0) });
+    } catch (fehler) {
+      console.error("[workspace] Rolle aendern:", fehler?.message);
+      res.status(503).json({ fehler: "nicht_verfuegbar" });
+    }
+  });
+
 /* ---------- Sperren / Entsperren ---------------------------------------- */
 
 personenRouter.patch("/workspace/api/verwaltung/personen/:id", gleicheHerkunft, nurDogFatherBeiLeitung, (req, res) => {