Die rechte Hand: dieselben Rechte, außer an DogFather

Filipe: „die rechte hand soll das auch sehen. und die selben rechte
da haben wie dogfather. das einzige was sie nicht kann ist die
dogfather rolle oder leute anfassen. also da kann sie nichts
verändern."

ZUERST EIN IRRTUM VON MIR. Ich hatte den Bildschirmfoto-Ausschnitt
fuer die Rechtetafel gehalten und dort gebaut. „Vertritt dich im
Alltag und koordiniert das Team" steht aber in workspace-personen.js:
Gemeint war die PERSONENSEITE. Die Arbeit an der Rechtetafel ist
trotzdem drin (siehe unten) -- sie loeste dasselbe Problem an einer
zweiten Stelle.

=== DIE PERSONENSEITE ===

DIE OBERFLAECHE WAR STRENGER ALS DER SERVER. In personen.js stand
`if (ich.rolle === 'hand') { keine Knoepfe }` mit der Begruendung
„Der Server antwortet ihr auf jeden davon mit 404". Am 22.09. stimmte
das. Seither wurde der Server ZWEIMAL erweitert -- sie durfte
Personen anlegen, Codes neu erzeugen und Rollen aendern -- und diese
Zeile blieb stehen. Sie hatte drei Rechte und sah keinen einzigen
Knopf. Ein Rollenvergleich im Browser ist genau die zweite Wahrheit,
die still veraltet.

Jetzt fragt die Oberflaeche den Server (`darf_zugaenge_verwalten`,
`darf_personen_loeschen`, `rollen_anfassbar`). Dazu kommen SPERREN
und LOESCHEN, die bis heute ausdruecklich bei DogFather lagen --
Filipes „das einzige" ist juenger und eindeutig.

Die Knoepfe „Neuer Code" und „Sperren" standen inline im
DogFather-Zweig; sie sind jetzt Funktionen und werden von beiden
Stellen benutzt. Eine zweite Abschrift waere die geworden, die beim
naechsten Umbau nur halb nachgezogen wird.

ZWEI ECHTE LOECHER FAND DIE NEUE PRUEFUNG:
  * `PUT /personen/:id/rolle` hatte `nurDogFatherBeiLeitung` NICHT.
    Bis heute folgenlos; mit den neuen Rechten konnte die rechte Hand
    darueber die Rolle eines MANAGERS aendern -- waehrend derselbe
    Manager fuer DogFather auf crew. gar nicht in der Liste steht.
    Zwei Wege, zwei Antworten, und der laxere galt fuer die Rolle mit
    weniger Rechten.
  * Die Loesch-Route hatte dieselbe Middleware ebenfalls nicht. Das
    war harmlos, solange die Route selbst nur DogFather durchliess --
    seit die rechte Hand loescht, ist es die Stelle, an der DogFather
    geschuetzt wird.

=== DIE RECHTETAFEL (nicht bestellt, aber dasselbe Problem) ===

Dort durfte sie sehen, aber nichts umstellen. Jetzt umstellen wie
DogFather -- ausser der Spalte „DogFather" und der Zeile „Personen &
Zugaenge" (wer die freischaltet, hat Zugaenge vergeben, ohne einen
anzulegen). Zuruecksetzen bleibt bei DogFather: Der Knopf naehme
genau diese zwei Sperren mit, und eine Sperre, die ein zweiter Knopf
daneben aufhebt, ist keine.

Sie kann sich auch selbst nicht aussperren -- das hat er nicht
gesagt, aber eine Sperre, aus der man sich aussperren kann, ist eine
Falle. Ein festes Feld ist jetzt gar kein Knopf mehr und nennt den
Grund, der fuer DIESE Person gilt.

=== DREI MESSFEHLER VON MIR ===
Ein Manager ist auf crew. fuer die LISTE unsichtbar, fuer DogFathers
direkten Zugriff aber nicht -- ich hielt das eine fuer das andere und
erwartete, dass beide abgewiesen werden. Die Loesch-Vorschau (GET)
fehlte in meinem Waechter. Und `rollen_anfassbar` beantwortet eine
andere Frage als „wen sehe ich".

Gemessen: pruef-hand-personen, 40 Pruefungen, 0 Fehler -- jeder der
fuenf Wege einzeln gegen DogFather und die linke Hand, plus die
Gegenprobe, dass DogFather es kann. pruef-rechte-umstellen von 46 auf
56 Pruefungen. Gruen: pruef-personen-liste, pruef-personen-loeschen,
pruef-personen-kachel, pruef-rollen-anlegen, pruef-rechtetafel.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/pruef-rechte-umstellen.mjs

@@ -127,7 +127,13 @@ melde("=== 1. Wer die Tafel sieht ===");
   const alsDogi = json(await roh("/workspace/api/rechte/tafel", HAUS, { cookie: kDogi }));
   const alsHand = json(await roh("/workspace/api/rechte/tafel", CREW, { cookie: kHand }));
   ok(alsDogi.darf_aendern === true, "DogFather darf umstellen");
-  ok(alsHand.darf_aendern === false, "die rechte Hand sieht dieselbe Tafel, darf aber nicht");
+  /* SEIT DEM 24.09.2026 DARF SIE AUCH UMSTELLEN.
+     Filipe: „die selben rechte da haben wie dogfather. das einzige
+     was sie nicht kann ist die dogfather rolle oder leute anfassen."
+     Was sie NICHT darf, wird in Abschnitt 5 einzeln geprueft. */
+  ok(alsHand.darf_aendern === true, "die rechte Hand darf jetzt auch umstellen");
+  ok(alsDogi.darf_zuruecksetzen === true && alsHand.darf_zuruecksetzen === false,
+    "zuruecksetzen bleibt bei DogFather -- es naehme auch ihre Sperren mit");
   ok(alsHand.seiten?.length === alsDogi.seiten?.length,
     `und sie bekommt wirklich dieselbe (${alsHand.seiten?.length} Seiten)`);
 
@@ -257,20 +263,76 @@ melde("=== 4. Aussperren geht nicht ===");
    5. WER NICHT DARF, DARF AUCH ÜBER DIE SCHNITTSTELLE NICHT
    ======================================================================= */
 melde("");
-melde("=== 5. Nur DogFather stellt um ===");
+melde("=== 5. Die rechte Hand stellt um -- aber nicht alles ===");
 {
-  const hand = await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
+  /* WAS SIE DARF (seit 24.09.2026). */
+  const darf = await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
     { pfad: PROBE, rolle: "modi", erlaubt: false }, "PUT");
-  ok(hand.code === 403, `die rechte Hand bekommt 403 (${hand.code})`);
-  ok(/DogFather/.test(json(hand).fehler || ""), "und erfährt, wer es darf");
+  ok(darf.code === 200, `sie stellt ein gewoehnliches Feld um (${darf.code})`);
+  /* UND ES WIRKT WIRKLICH -- nicht nur die Anzeige. */
+  const zu = await roh(PROBE, CREW, { cookie: kModi });
+  ok(zu.code !== 200, `danach kommt der Modi nicht mehr auf die Seite (${zu.code})`);
+  /* Gleich wieder zurueck, damit die folgenden Abschnitte den
+     Grundstand vorfinden. */
+  await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
+    { pfad: PROBE, rolle: "modi", erlaubt: true }, "PUT");
 
+  /* WAS SIE NICHT DARF -- die drei Sperren, einzeln. */
+  const dogiSpalte = await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
+    { pfad: PROBE, rolle: "admin", erlaubt: false }, "PUT");
+  ok(dogiSpalte.code === 400,
+    `die Spalte DogFather nicht (${dogiSpalte.code})`);
+  ok(/DogFather/.test(json(dogiSpalte).fehler || ""),
+    "und sie erfaehrt, warum");
+
+  /* AUCH NICHT ZUSCHALTEN. Nur das Wegnehmen zu sperren waere
+     dieselbe Tuer, nur andersherum -- sie koennte ihm jede Seite
+     AUFdruecken. */
+  const dogiZu = await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
+    { pfad: "/workspace/befinden.html", rolle: "admin", erlaubt: true }, "PUT");
+  ok(dogiZu.code === 400,
+    `auch zuschalten kann sie ihm nichts (${dogiZu.code})`);
+
+  const leute = await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
+    { pfad: "/workspace/personen.html", rolle: "modi", erlaubt: true }, "PUT");
+  ok(leute.code === 400,
+    `und "Personen & Zugaenge" fuer niemanden (${leute.code})`);
+
+  /* UND SIE KANN SICH NICHT SELBST AUSSPERREN. Das hat Filipe nicht
+     gesagt; eine Sperre, aus der man sich aussperren kann, ist aber
+     keine Einstellung, sondern eine Falle. */
+  const selbst = await roh("/workspace/api/rechte/feld", CREW, { cookie: kHand },
+    { pfad: "/workspace/rechte.html", rolle: "hand", erlaubt: false }, "PUT");
+  ok(selbst.code === 400,
+    `sie kann sich die Rechteseite nicht selbst wegnehmen (${selbst.code})`);
+
+  /* DIE OBERFLAECHE WEISS DASSELBE -- sonst zeigt sie einen Knopf,
+     den der Server danach ablehnt. */
+  const tafelHand = json(await roh("/workspace/api/rechte/tafel", CREW, { cookie: kHand }));
+  const zeileProbe = tafelHand.seiten.find((x) => x.pfad === PROBE);
+  const zeilePers = tafelHand.seiten.find((x) => x.pfad === "/workspace/personen.html");
+  ok(zeileProbe?.fest?.includes("admin"),
+    "die Tafel zeichnet ihr die Spalte DogFather als fest");
+  ok(zeilePers?.fest?.length >= 5,
+    `und die ganze Zeile "Personen & Zugaenge" (${zeilePers?.fest?.length} Felder)`);
+  ok(!!zeileProbe?.fest_grund?.admin,
+    "mit einem Grund, der danebensteht");
+
+  /* GEGENPROBE: Bei DogFather ist genau das NICHT fest -- sonst
+     hiesse "fest" nur, dass die Tafel immer dasselbe sagt. */
+  const tafelDogi2 = json(await roh("/workspace/api/rechte/tafel", HAUS, { cookie: kDogi }));
+  const dogiProbe = tafelDogi2.seiten.find((x) => x.pfad === PROBE);
+  ok(!dogiProbe?.fest?.includes("admin"),
+    "fuer DogFather selbst ist dieselbe Spalte NICHT fest");
+
+  /* Andere Rollen kommen weiterhin gar nicht heran. */
   const modi = await roh("/workspace/api/rechte/feld", CREW, { cookie: kModi },
     { pfad: PROBE, rolle: "modi", erlaubt: true }, "PUT");
   ok(modi.code === 404, `ein Modi bekommt 404 – für ihn gibt es die Tafel nicht (${modi.code})`);
 
   const alles = await roh("/workspace/api/rechte/abweichungen", CREW, { cookie: kHand },
     null, "DELETE");
-  ok(alles.code === 403, `und zurücksetzen darf sie auch nicht (${alles.code})`);
+  ok(alles.code === 403, `und zurücksetzen darf sie nicht (${alles.code})`);
 
   /* GEGENPROBE: Nach all dem ist die Tafel unverändert. Ein
      abgewiesener Versuch, der trotzdem etwas ändert, wäre der