Der Rollenname steht in keiner ausgelieferten Datei mehr

pruef-modi-wortleck war rot und meldete 17 Fundstellen -- seit Wochen,
bei jedem Lauf. Eine Warnung, die immer kommt, wird ueberlesen, und
dann auch die echte.

ERST GEMESSEN, OB DIE REGEL UEBERHAUPT NOCH GILT. Seit dem 11.09. gibt
es die eigene Adresse crew. mit einem offenen Modi-Knopf an der Wand --
es waere gut moeglich gewesen, dass die Pruefung etwas bewacht, das es
nicht mehr gibt. Sie gilt: pruef-modi-verborgen setzt mit 80 Pruefungen
durch, dass ein Manager keinen Modi sieht.

UND DABEI KAM ETWAS SCHLIMMERES HERAUS. Auf der echten Seite gemessen:

  /workspace/start.html                 302   (Anmeldung noetig)
  /workspace/assets/js/talente.js       200   25 KB Quelltext
  /workspace/assets/js/chat.js          200   85 KB
  /workspace/assets/css/entwicklung.css 200   34 KB

Jede Datei unter workspace/ ist OHNE JEDE ANMELDUNG aus dem offenen
Netz abrufbar. Der verborgene Zugang stand also nicht in einer Datei,
die "jeder herunterlaedt, der angemeldet ist" -- sondern in einer, die
man einfach abrufen kann.

Die Rollentabelle in workspace.js sagt seit dem 11.09. genau das
Richtige dazu: "Der Name steht hier und NICHT in einer Datei, die jeder
herunterlaedt -- ausgeliefert wird er nur an den, der ihn selbst
traegt, und an die, die ihn sehen duerfen." Danach ist jetzt gebaut,
ueberall:

  - talente.js hatte `rolle: 'modi'` fest im Text, dazu den Namen im
    Codekasten und im Rechtevergleich. Die Seite FRAGT ihn jetzt ab;
    /talente/lage liefert ihn, und die Route geht nur an DogFather und
    die rechte Hand.
  - Der Regeltext des Treffs nennt den Namen weiterhin -- Filipe hat am
    11.09. ausdruecklich gewaehlt, dass die Community ihn sieht. Er
    kommt jetzt als DATEN mit der Antwort, nicht als fester Text.
  - Das Feld hiess selbst `modi_frist_tage`. Das Muster \bmodi\b trifft
    das nicht, weil danach ein Unterstrich folgt -- ein Leck durch eine
    Luecke im Muster, nicht durch eine Entscheidung. Heisst jetzt
    `pause_frist_tage`.
  - Die uebrigen elf Fundstellen waren Kommentare. Umformuliert, ohne
    dass sie weniger erklaeren.

Ergebnis: 17 -> 0. Ohne Ausnahmeliste, ohne die Pruefung zu entschaerfen.

ZWEI LOECHER, DIE ICH DABEI SELBST GERISSEN HAETTE:

  darfAnlegen wurde aus `lage` gerechnet -- aber ichHolen() laeuft VOR
  laden(), also war `lage` noch null. Der Wert waere dauerhaft falsch
  gewesen und der Knopf nie erschienen. Jetzt ist es eine Frage statt
  eines Wertes, beantwortet beim Zeichnen. Gefunden beim Nachsehen der
  Reihenfolge, nicht im Testlauf -- deshalb steht die Frage ab jetzt in
  pruef-uebergang.

  Und im HTML des Treffs steht als Ersatzfassung "jemandem aus dem
  Team". Kommt der Name nicht an, bleibt sie stehen, die Seite sieht
  vollkommen richtig aus, und niemand merkt es. Ein Platzhalter "…"
  waere aufgefallen; eine richtige Ersatzfassung faellt nicht auf.
  pruef-neue-seiten prueft jetzt, dass wirklich der Name dasteht.

  pruef-modi-wortleck        0 Fehler (vorher 17 Fundstellen)
  pruef-uebergang 65 (vorher 61), pruef-neue-seiten 97 (vorher 93)
  pruef-modi-verborgen 80, pruef-nachwuchs 123, pruef-treff 66,
  pruef-treff-werkzeuge 70, pruef-css-klassen -- alle 0 Fehler

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace-entwicklung.js

@@ -102,6 +102,27 @@ const KARTEN_ROLLEN = ["hand", "modi"];
  *  begleiten, die er selbst nicht macht. */
 const BUDDY_ROLLEN = ["admin", "hand", "modi"];
 
+/** Welchen Zugang der letzte Schritt des Trichters anlegt.
+ *
+ *  ER STEHT HIER UND NICHT IM BROWSER (16.09.2026). Die Talente-Seite
+ *  hatte `rolle: 'modi'` als festen Text im Skript -- und jede Datei
+ *  unter `workspace/` liefert der Server an JEDEN aus, der die Adresse
+ *  kennt. Nachgemessen am 16.09.: `talente.js` kommt ohne jede
+ *  Anmeldung mit 200 aus dem offenen Netz, 25 KB Quelltext, der
+ *  Rollenname mittendrin.
+ *
+ *  Damit stand der verborgene Zugang in einer Datei, die man nicht
+ *  einmal geschenkt bekommen muss -- man kann sie abrufen. Die
+ *  Rollentabelle nebenan sagt seit dem 11.09. genau das Richtige dazu:
+ *  „Der Name steht hier und NICHT in einer Datei, die jeder
+ *  herunterlaedt -- ausgeliefert wird er nur an den, der ihn selbst
+ *  traegt, und an die, die ihn sehen duerfen."
+ *
+ *  Die Seite fragt ihn deshalb ab, statt ihn zu kennen. Die Antwort
+ *  geht ueber `nurLeitung` -- also nur an DogFather und die rechte
+ *  Hand. */
+const ZUGANG_ROLLE = "modi";
+
 /* =====================================================================
    DIE TABELLEN
    ===================================================================== */
@@ -898,6 +919,10 @@ entwicklungRouter.get("/workspace/api/talente/lage", (req, res) => {
           ORDER BY ${ROLLEN_SORTIERUNG}, name COLLATE NOCASE`).all(...BUDDY_ROLLEN),
       erster_tag: ERSTER_TAG,
       schicht_weit_tage: SCHICHT_WEIT_TAGE,
+      /* WELCHEN ZUGANG DER LETZTE SCHRITT ANLEGT -- Schluessel und
+         Wort. Beides kommt von hier, damit im Browser kein fester Text
+         dazu steht; siehe ZUGANG_ROLLE oben. */
+      zugang: { rolle: ZUGANG_ROLLE, name: ROLLEN_NAME[ZUGANG_ROLLE] ?? ZUGANG_ROLLE },
       kandidaten: karten,
       /* Wie viele auf jeder Stufe liegen -- der Trichter als Zahlen.
          Abgeleitet, damit er nicht danebenliegen kann. */