Der Rollenname steht in keiner ausgelieferten Datei mehr

pruef-modi-wortleck war rot und meldete 17 Fundstellen -- seit Wochen,
bei jedem Lauf. Eine Warnung, die immer kommt, wird ueberlesen, und
dann auch die echte.

ERST GEMESSEN, OB DIE REGEL UEBERHAUPT NOCH GILT. Seit dem 11.09. gibt
es die eigene Adresse crew. mit einem offenen Modi-Knopf an der Wand --
es waere gut moeglich gewesen, dass die Pruefung etwas bewacht, das es
nicht mehr gibt. Sie gilt: pruef-modi-verborgen setzt mit 80 Pruefungen
durch, dass ein Manager keinen Modi sieht.

UND DABEI KAM ETWAS SCHLIMMERES HERAUS. Auf der echten Seite gemessen:

  /workspace/start.html                 302   (Anmeldung noetig)
  /workspace/assets/js/talente.js       200   25 KB Quelltext
  /workspace/assets/js/chat.js          200   85 KB
  /workspace/assets/css/entwicklung.css 200   34 KB

Jede Datei unter workspace/ ist OHNE JEDE ANMELDUNG aus dem offenen
Netz abrufbar. Der verborgene Zugang stand also nicht in einer Datei,
die "jeder herunterlaedt, der angemeldet ist" -- sondern in einer, die
man einfach abrufen kann.

Die Rollentabelle in workspace.js sagt seit dem 11.09. genau das
Richtige dazu: "Der Name steht hier und NICHT in einer Datei, die jeder
herunterlaedt -- ausgeliefert wird er nur an den, der ihn selbst
traegt, und an die, die ihn sehen duerfen." Danach ist jetzt gebaut,
ueberall:

  - talente.js hatte `rolle: 'modi'` fest im Text, dazu den Namen im
    Codekasten und im Rechtevergleich. Die Seite FRAGT ihn jetzt ab;
    /talente/lage liefert ihn, und die Route geht nur an DogFather und
    die rechte Hand.
  - Der Regeltext des Treffs nennt den Namen weiterhin -- Filipe hat am
    11.09. ausdruecklich gewaehlt, dass die Community ihn sieht. Er
    kommt jetzt als DATEN mit der Antwort, nicht als fester Text.
  - Das Feld hiess selbst `modi_frist_tage`. Das Muster \bmodi\b trifft
    das nicht, weil danach ein Unterstrich folgt -- ein Leck durch eine
    Luecke im Muster, nicht durch eine Entscheidung. Heisst jetzt
    `pause_frist_tage`.
  - Die uebrigen elf Fundstellen waren Kommentare. Umformuliert, ohne
    dass sie weniger erklaeren.

Ergebnis: 17 -> 0. Ohne Ausnahmeliste, ohne die Pruefung zu entschaerfen.

ZWEI LOECHER, DIE ICH DABEI SELBST GERISSEN HAETTE:

  darfAnlegen wurde aus `lage` gerechnet -- aber ichHolen() laeuft VOR
  laden(), also war `lage` noch null. Der Wert waere dauerhaft falsch
  gewesen und der Knopf nie erschienen. Jetzt ist es eine Frage statt
  eines Wertes, beantwortet beim Zeichnen. Gefunden beim Nachsehen der
  Reihenfolge, nicht im Testlauf -- deshalb steht die Frage ab jetzt in
  pruef-uebergang.

  Und im HTML des Treffs steht als Ersatzfassung "jemandem aus dem
  Team". Kommt der Name nicht an, bleibt sie stehen, die Seite sieht
  vollkommen richtig aus, und niemand merkt es. Ein Platzhalter "…"
  waere aufgefallen; eine richtige Ersatzfassung faellt nicht auf.
  pruef-neue-seiten prueft jetzt, dass wirklich der Name dasteht.

  pruef-modi-wortleck        0 Fehler (vorher 17 Fundstellen)
  pruef-uebergang 65 (vorher 61), pruef-neue-seiten 97 (vorher 93)
  pruef-modi-verborgen 80, pruef-nachwuchs 123, pruef-treff 66,
  pruef-treff-werkzeuge 70, pruef-css-klassen -- alle 0 Fehler

Co-Authored-By: Claude Opus 5 <[email protected]>

server/pruef-uebergang.mjs

@@ -410,6 +410,51 @@ melde("=== 8. Im Browser ===");
      jemanden bestimmt, ohne ihn gefragt zu haben. */
   ok(frage.vorbelegt === "", "und keiner ist vorausgewählt — hier muss jemand wirklich wählen");
 
+  /* ===== DER ROLLENNAME STEHT NICHT MEHR IM SKRIPT (16.09.2026) =====
+
+     `talente.js` hatte `rolle: 'modi'` als festen Text -- und der Server
+     liefert jede Datei unter workspace/ an jeden aus, der die Adresse
+     kennt. Nachgemessen am 16.09. auf der echten Seite: ohne jede
+     Anmeldung 200 und 25 KB Quelltext.
+
+     Jetzt fragt die Seite den Namen ab. Das ist eine Codeänderung an
+     der Stelle, an der aus einem Talent ein Mensch mit Zugang wird --
+     der letzte Schritt des Trichters, und der einzige, den man nicht
+     zurücknehmen kann. Also wird er gemessen, nicht angenommen. */
+  const wissen = await seite.evaluate(async () => {
+    const a = await fetch("/workspace/api/talente/lage", { credentials: "same-origin" });
+    const l = await a.json();
+    const quelle = await (await fetch("/workspace/assets/js/talente.js")).text();
+    return {
+      rolle: l?.zugang?.rolle || "",
+      name: l?.zugang?.name || "",
+      imSkript: /rolle:\s*'modi'/.test(quelle),
+    };
+  });
+  ok(!!wissen.rolle && !!wissen.name,
+    `der Server sagt der Seite, welcher Zugang entsteht (${wissen.rolle} / ${wissen.name})`);
+  ok(wissen.imSkript === false,
+    "und im ausgelieferten Skript steht der Name nicht mehr");
+
+  /* UND DER KNOPF MUSS TROTZDEM DA SEIN. Der Wert wird jetzt erst beim
+     Zeichnen gerechnet -- mein erster Entwurf rechnete ihn zu früh,
+     und dann wäre er dauerhaft falsch gewesen und der Knopf nie
+     erschienen. Gefunden hat das die Reihenfolge im Quelltext, nicht
+     der Testlauf; deshalb steht die Frage ab jetzt hier. */
+  await seite.goto(`http://127.0.0.1:${PORT}/workspace/talente.html`, { waitUntil: "networkidle" });
+  await seite.waitForTimeout(900);
+  const knopf = await seite.evaluate(() => {
+    const k = [...document.querySelectorAll(".t-karte")]
+      .find((x) => x.dataset.stufe === "probe");
+    return {
+      karte: !!k,
+      text: k?.querySelector(".t-schritt__knopf")?.textContent.trim() || "",
+    };
+  });
+  ok(knopf.karte, "eine Karte auf der Probe steht auf der Seite");
+  ok(/Zugang anlegen/.test(knopf.text),
+    `und DogFather sieht den Knopf dafür („${knopf.text}“)`);
+
   ok(konsole.length === 0,
     konsole.length ? "Fehler im Browser: " + konsole[0].slice(0, 90) : "keine Fehler im Browser");
   await browser.close();