Die Rolle "Spicy Media" -- und drei Fehler, die nur ihre Pruefung fand

DIE PERSONENTABELLE WURDE NEU GEBAUT. Eine Rolle ist ein erlaubter Wert
in einer Spalte, und der steckt in einem CHECK -- den kann SQLite nicht
aendern. Auf `personen` zeigen ZWEIUNDFUENFZIG Fremdschluessel.

Deshalb wird der Bauplan NICHT abgeschrieben, sondern gelesen: Der
CREATE-Text kommt aus sqlite_master, darin wird ausschliesslich die
Rollenliste ersetzt, und die Kopierliste kommt aus PRAGMA table_info.
Die beiden aelteren Umstellungen schreiben ihre Spalten von Hand ab --
`personen` hat seit damals SIEBEN dazubekommen (bild, ueber_mich,
tiktok ...). Wer hier abschreibt, verliert alle Profilbilder.

ZWEI FRAGEN, DIE MAN AUSEINANDERHALTEN MUSS:
  siehtAlles()   = DogFather ODER Spicy Media -> Listen, Uebersichten
  istDogFather() = nur DogFather              -> loeschen, Rollen, Codes
Es waere weniger Arbeit gewesen, istDogFather() um "spicy" zu erweitern
-- und genau das waere der Fehler: Spicy Media koennte dann DogFather
loeschen.

DER CHAT BRAUCHTE NICHTS. Er haengt allein an der Teilnehmerliste und
kennt kein "das Management sieht alles". Spicy Media sieht fremde
Gespraeche nicht, weil es dafuer keinen Weg gibt -- nicht, weil eine
Abfrage es verbietet.

DREI ECHTE FEHLER, alle von pruef-spicy gefunden, keiner vorher sichtbar:

1. MEIN EIGENER KOMMENTAR STAND IM BAUPLAN. SQLite hebt den CREATE-Text
   woertlich auf, samt Kommentaren. Ich hatte "'spicy' steht HIER mit
   drin" hineingeschrieben -- und die Erkennung suchte genau dieses Wort
   im ganzen Text. Ergebnis: Die Umstellung hielt die Tabelle fuer
   erledigt, obwohl die CHECK-Regel noch die alte war. Jetzt wird die
   Regel herausgeschnitten und NUR darin gesucht; der Kommentar steht
   ausserhalb des SQL.

2. DER SICHERUNGSNAME HATTE NUR MINUTEN. `VACUUM INTO` weigert sich, eine
   vorhandene Datei zu ueberschreiben -- zu Recht. Zwei Umstellungen in
   derselben Minute wollten in dieselbe Datei, die zweite scheiterte, und
   weil ohne Sicherung nicht umgestellt wird, blieb sie aus. Es sah nach
   "lief" aus (die Datei lag ja da) und war keine. Jetzt mit Sekunden.

3. EINE FRISCHE DATENBANK LEGTE DIE ALTE ROLLENLISTE AN und stellte beim
   allerersten Start sofort um -- Tabelle neu bauen, Sicherung schreiben,
   fuer nichts. Ein Bauplan, der sofort umgebaut werden muss, ist der
   falsche.

Und ein vierter in der Pruefung selbst: Der Chat-Aufbau benutzte einen
falschen Weg, das Gespraech entstand gar nicht -- "Spicy Media sieht 0
Gespraeche" war trotzdem gruen, weil es keine gab. Jetzt ist das Anlegen
selbst eine Pruefung, und eine Gegenprobe zeigt, dass Max es sehr wohl
sieht.

DAZU: Manager sehen die Kachel "Personen & Zugaenge" -- die SEITE geht
auf, die Schnittstellen nicht. Alles unter /verwaltung haengt weiter an
`nurAdmin` und antwortet 404; sie sehen genau den Teil, fuer den es
einen Weg gibt. Spicy Media legt Creator UND Manager an (zweite enge
Tuer, Rolle steht auch dort nicht im Aufruf; ein Manager kommt durch
sie nicht). Der Rollentext des Managers stimmte nicht mehr -- er legt
jetzt Creator an.

pruef-spicy: 36 Pruefungen, alle gruen. Ausserdem gruen: personen-liste
(33), creator-anlegen (29), sicht (48), css-klassen (15), alle-wege (19),
haerte (20), manager-sicht (43).

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace-personen.js

@@ -15,7 +15,7 @@
 
 import express from "express";
 import {
-  db, protokolliere, echteIp, sitzungLesen, personAnlegen, codeNeu, sitzungToken, personSperren, betreuungSetzen, scoutZuteilungSetzen, istLeitung, istDogFather, ROLLEN_SORTIERUNG, ROLLEN_REIHE,
+  db, protokolliere, echteIp, sitzungLesen, personAnlegen, codeNeu, sitzungToken, personSperren, betreuungSetzen, scoutZuteilungSetzen, istLeitung, istDogFather, siehtAlles, ROLLEN_SORTIERUNG, ROLLEN_REIHE,
 } from "./workspace.js";
 import { sicherungJetzt } from "./workspace-sicherung.js";
 
@@ -368,6 +368,45 @@ personenRouter.post("/workspace/api/creator-anlegen", gleicheHerkunft, nurLeitun
   }
 });
 
+/* ZWEITE TUER: EINEN MANAGER ANLEGEN -- nur Spicy Media und DogFather
+   (07.09.2026).
+
+   Filipe: "die agentur manager und creator und die dan auch einteilen."
+
+   Warum nicht einfach ein Feld `rolle` an der Tuer daneben? Weil damit
+   genau die Eigenschaft verloren ginge, die sie sicher macht: Sie KANN
+   nichts anderes, als einen Creator anzulegen. Sobald eine Abfrage
+   entscheidet, welche Rolle erlaubt ist, ist eine vergessene Abfrage ein
+   zweiter Zugang mit vollen Rechten.
+
+   Also zwei Tueren, jede mit genau einer Aufgabe. Die Rolle steht auch
+   hier nicht im Aufruf.
+
+   EINEN MANAGER LEGT MAN NICHT NEBENBEI AN: Er sieht danach jeden
+   Creator, den er betreut, und legt selbst welche an. Deshalb bleibt
+   diese Tuer Spicy Media und DogFather vorbehalten -- ein Manager kann
+   keinen zweiten Manager schaffen. */
+personenRouter.post("/workspace/api/manager-anlegen", gleicheHerkunft, (req, res) => {
+  try {
+    const person = sitzungLesen(req);
+    if (!person) return res.status(401).json({ fehler: "nicht_angemeldet" });
+    if (!siehtAlles(person)) return res.status(404).json({ fehler: "nicht_gefunden" });
+
+    const name = String(req.body?.name ?? "").trim();
+    if (name.length < 2) return res.status(400).json({ fehler: "Name fehlt." });
+    if (name.length > NAME_MAX) return res.status(400).json({ fehler: "Name ist zu lang." });
+    const vorhanden = db().prepare(
+      "SELECT 1 FROM personen WHERE lower(name) = lower(?) AND aktiv = 1").get(name);
+    if (vorhanden) return res.status(409).json({ fehler: "Diesen Namen gibt es schon." });
+
+    const neu = personAnlegen(name, "manager", { ...person, ip: echteIp(req) });
+    res.status(201).json({ id: neu.id, name: neu.name, rolle: neu.rolle, code: neu.code });
+  } catch (fehler) {
+    console.error("[workspace] Manager anlegen:", fehler?.message);
+    res.status(503).json({ fehler: "nicht_verfuegbar" });
+  }
+});
+
 /* Welche Scouts kann ich einem neuen Creator gleich mitgeben?
    Dieselbe Regel wie oben, nur lesend -- damit die Oberflaeche genau
    die Liste anbietet, die der Server auch annimmt. Zwei getrennte