Die rechte Hand: dieselben Rechte, außer an DogFather

Filipe: „die rechte hand soll das auch sehen. und die selben rechte
da haben wie dogfather. das einzige was sie nicht kann ist die
dogfather rolle oder leute anfassen. also da kann sie nichts
verändern."

ZUERST EIN IRRTUM VON MIR. Ich hatte den Bildschirmfoto-Ausschnitt
fuer die Rechtetafel gehalten und dort gebaut. „Vertritt dich im
Alltag und koordiniert das Team" steht aber in workspace-personen.js:
Gemeint war die PERSONENSEITE. Die Arbeit an der Rechtetafel ist
trotzdem drin (siehe unten) -- sie loeste dasselbe Problem an einer
zweiten Stelle.

=== DIE PERSONENSEITE ===

DIE OBERFLAECHE WAR STRENGER ALS DER SERVER. In personen.js stand
`if (ich.rolle === 'hand') { keine Knoepfe }` mit der Begruendung
„Der Server antwortet ihr auf jeden davon mit 404". Am 22.09. stimmte
das. Seither wurde der Server ZWEIMAL erweitert -- sie durfte
Personen anlegen, Codes neu erzeugen und Rollen aendern -- und diese
Zeile blieb stehen. Sie hatte drei Rechte und sah keinen einzigen
Knopf. Ein Rollenvergleich im Browser ist genau die zweite Wahrheit,
die still veraltet.

Jetzt fragt die Oberflaeche den Server (`darf_zugaenge_verwalten`,
`darf_personen_loeschen`, `rollen_anfassbar`). Dazu kommen SPERREN
und LOESCHEN, die bis heute ausdruecklich bei DogFather lagen --
Filipes „das einzige" ist juenger und eindeutig.

Die Knoepfe „Neuer Code" und „Sperren" standen inline im
DogFather-Zweig; sie sind jetzt Funktionen und werden von beiden
Stellen benutzt. Eine zweite Abschrift waere die geworden, die beim
naechsten Umbau nur halb nachgezogen wird.

ZWEI ECHTE LOECHER FAND DIE NEUE PRUEFUNG:
  * `PUT /personen/:id/rolle` hatte `nurDogFatherBeiLeitung` NICHT.
    Bis heute folgenlos; mit den neuen Rechten konnte die rechte Hand
    darueber die Rolle eines MANAGERS aendern -- waehrend derselbe
    Manager fuer DogFather auf crew. gar nicht in der Liste steht.
    Zwei Wege, zwei Antworten, und der laxere galt fuer die Rolle mit
    weniger Rechten.
  * Die Loesch-Route hatte dieselbe Middleware ebenfalls nicht. Das
    war harmlos, solange die Route selbst nur DogFather durchliess --
    seit die rechte Hand loescht, ist es die Stelle, an der DogFather
    geschuetzt wird.

=== DIE RECHTETAFEL (nicht bestellt, aber dasselbe Problem) ===

Dort durfte sie sehen, aber nichts umstellen. Jetzt umstellen wie
DogFather -- ausser der Spalte „DogFather" und der Zeile „Personen &
Zugaenge" (wer die freischaltet, hat Zugaenge vergeben, ohne einen
anzulegen). Zuruecksetzen bleibt bei DogFather: Der Knopf naehme
genau diese zwei Sperren mit, und eine Sperre, die ein zweiter Knopf
daneben aufhebt, ist keine.

Sie kann sich auch selbst nicht aussperren -- das hat er nicht
gesagt, aber eine Sperre, aus der man sich aussperren kann, ist eine
Falle. Ein festes Feld ist jetzt gar kein Knopf mehr und nennt den
Grund, der fuer DIESE Person gilt.

=== DREI MESSFEHLER VON MIR ===
Ein Manager ist auf crew. fuer die LISTE unsichtbar, fuer DogFathers
direkten Zugriff aber nicht -- ich hielt das eine fuer das andere und
erwartete, dass beide abgewiesen werden. Die Loesch-Vorschau (GET)
fehlte in meinem Waechter. Und `rollen_anfassbar` beantwortet eine
andere Frage als „wen sehe ich".

Gemessen: pruef-hand-personen, 40 Pruefungen, 0 Fehler -- jeder der
fuenf Wege einzeln gegen DogFather und die linke Hand, plus die
Gegenprobe, dass DogFather es kann. pruef-rechte-umstellen von 46 auf
56 Pruefungen. Gruen: pruef-personen-liste, pruef-personen-loeschen,
pruef-personen-kachel, pruef-rollen-anlegen, pruef-rechtetafel.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace-rechte.js

@@ -60,7 +60,8 @@ import {
 } from "./workspace.js";
 import {
   SEITEN, ALLE_ROLLEN, OHNE_ANMELDUNG, UNANTASTBAR,
-  tafelSetzen, tafelJetzt, darfUmstellen, alleSeiten,
+  tafelSetzen, tafelJetzt, darfUmstellen, alleSeiten, festeFelder,
+  darfFeldAnfassen,
 } from "./rechte.js";
 
 export const rechteRouter = express.Router();
@@ -149,11 +150,36 @@ function nurLeitung(req, res, next) {
   return res.status(404).json({ fehler: "nicht_gefunden" });
 }
 
-/** Umstellen: nur DogFather. */
+/** Umstellen: DogFather und die rechte Hand (24.09.2026).
+ *
+ *  Filipe: „die selben rechte da haben wie dogfather. das einzige was
+ *  sie nicht kann ist die dogfather rolle oder leute anfassen."
+ *
+ *  WAS SIE NICHT DARF, STEHT NICHT HIER, sondern in
+ *  `darfFeldAnfassen` (rechte.js) -- an genau einer Stelle, aus der
+ *  auch die Oberflaeche ihre Auskunft zieht. Dieser Waechter laesst
+ *  nur die beiden Rollen ueberhaupt herein; welches FELD sie anfassen
+ *  duerfen, entscheidet die Route darunter. */
+function nurLeitungUmstellen(req, res, next) {
+  if (req.person?.rolle === "admin" || req.person?.rolle === "hand") return next();
+  return res.status(403).json({
+    fehler: "Umstellen kann das nur DogFather und die rechte Hand. "
+      + "Ansehen darfst du alles.",
+  });
+}
+
+/** Alles zurueck auf den Grundstand: weiterhin nur DogFather.
+ *
+ *  UND DAS IST ABSICHT, keine Vergesslichkeit. Ein Knopf, der die
+ *  ganze Tafel zuruecksetzt, wuerde auch Aenderungen an der Spalte
+ *  „DogFather" und an der Zeile „Personen & Zugaenge" mitnehmen --
+ *  genau die zwei Dinge, die die rechte Hand nicht anfassen soll.
+ *  Eine Sperre, die ein zweiter Knopf daneben aufhebt, ist keine. */
 function nurDogFather(req, res, next) {
   if (req.person?.rolle === "admin") return next();
   return res.status(403).json({
-    fehler: "Umstellen kann das nur DogFather. Ansehen darfst du alles.",
+    fehler: "Alles zurücksetzen kann nur DogFather – es würde auch "
+      + "Einstellungen mitnehmen, die dir nicht offenstehen.",
   });
 }
 
@@ -179,11 +205,35 @@ rechteRouter.get("/workspace/api/rechte/tafel", (req, res) => {
       /* Was DogFather hier NICHT abwaehlen kann -- damit die Oberflaeche
          den Knopf gar nicht erst als Knopf zeigt statt ihn eine Absage
          bringen zu lassen. */
-      fest: UNANTASTBAR.filter((u) => u.pfad === pfad).map((u) => u.rolle),
+      /* WAS DIESE PERSON NICHT ANFASSEN DARF -- nicht nur, was
+         allgemein festliegt (24.09.2026). Fuer DogFather unveraendert
+         UNANTASTBAR; die rechte Hand bekommt zusaetzlich die Spalte
+         „DogFather", die Zeile „Personen & Zugaenge" und ihre eigenen
+         zwei Zugaenge als fest gezeichnet.
+
+         Abgeleitet aus derselben Funktion, die die Route gleich
+         darunter befragt -- damit die Oberflaeche nie einen Knopf
+         zeigt, den der Server danach ablehnt. */
+      fest: festeFelder(req.person, pfad),
+      /* UND WARUM. Ein festes Feld ohne Grund ist eine graue Fläche,
+         bei der man sich fragt, ob etwas kaputt ist. Der Text kommt
+         aus derselben Funktion, die das Feld festgesetzt hat -- nicht
+         aus einer Liste in der Oberfläche, die beim nächsten neuen
+         Grund nicht mitwächst. */
+      fest_grund: Object.fromEntries(ALLE_ROLLEN
+        .map((r) => [r, darfFeldAnfassen(req.person, pfad, r)
+          || (UNANTASTBAR.some((u) => u.pfad === pfad && u.rolle === r)
+            ? "Diese Seite kannst du dir nicht selbst wegnehmen – sonst käme "
+              + "niemand mehr an die Rechte, an die Zugänge oder auf die Startseite."
+            : null)])
+        .filter(([, grund]) => grund)),
     }));
 
     res.json({
-      darf_aendern: req.person.rolle === "admin",
+      darf_aendern: req.person.rolle === "admin" || req.person.rolle === "hand",
+      /* Zuruecksetzen bleibt bei DogFather -- die Oberflaeche zeigt
+         den Knopf deshalb nur ihm. */
+      darf_zuruecksetzen: req.person.rolle === "admin",
       rollen: ALLE_ROLLEN.map((r) => ({
         schluessel: r,
         name: ROLLEN_NAME[r] ?? r,
@@ -209,13 +259,16 @@ rechteRouter.get("/workspace/api/rechte/tafel", (req, res) => {
    Aenderung verliert -- und bei Rechten ist eine halbe Aenderung die
    gefaehrlichste Lage von allen. Zurueckgenommen wird mit demselben
    Klick. */
-rechteRouter.put("/workspace/api/rechte/feld", gleicheHerkunft, nurDogFather, (req, res) => {
+rechteRouter.put("/workspace/api/rechte/feld", gleicheHerkunft, nurLeitungUmstellen, (req, res) => {
   try {
     const pfad = String(req.body?.pfad || "");
     const rolle = String(req.body?.rolle || "");
     const erlaubt = req.body?.erlaubt === true;
 
-    const nein = darfUmstellen(pfad, rolle, erlaubt);
+    /* DIE PERSON GEHT MIT. Ohne sie prueft `darfUmstellen` nur die
+       allgemeinen Sperren -- und die rechte Hand koennte DogFathers
+       Spalte aendern. */
+    const nein = darfUmstellen(pfad, rolle, erlaubt, req.person);
     if (nein) return res.status(400).json({ fehler: nein });
 
     const imGrundstand = (SEITEN[pfad] || []).includes(rolle);