DogFatherGit/dogfather-universe
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Korrigieren duerfen jetzt beide: Spicy Media und DogFather

Browse Source 
Filipe auf die Rueckfrage, wer fremde Eintraege richtigstellen darf:
„ja spicy und dogfather".

Die Vorlage kannte dort nur DogFather („Vergangene Monate sind
gesperrt ... Ausnahme: DogFather"). Das gilt ab jetzt fuer beide --
und zwar fuer BEIDE Faelle, nicht nur fuer einen:

  * einen fremden Eintrag aendern oder loeschen
  * einen abgeschlossenen Monat dafuer kurz oeffnen

ES IST EINE MENGE UND KEINE ZWEITE LISTE. `darfKorrigieren()` gibt
`siehtAlles()` zurueck -- dieselbe Menge, die schon ueber die
Team-Uebersicht und die Zielzahlen entscheidet. Eine eigene
Aufzaehlung derselben zwei Rollen waere die, die beim naechsten Umbau
auseinanderlaeuft. Und inhaltlich gehoert es zusammen: Wer alle
Zahlen sieht und die Ziele setzt, muss einen Zahlendreher gerade
ruecken koennen; zwei verschiedene Grenzen fuer „darf alles sehen"
und „darf etwas richtigstellen" koennte spaeter niemand mehr
erklaeren.

Der Name der Variablen hiess vorher `istAdmin` -- also die Rechnung
statt ihrer Bedeutung. Jetzt heisst sie, was sie beantwortet.

NACHVOLLZIEHBAR BLEIBT ES UNVERAENDERT: Jede Korrektur an einem
fremden Eintrag und jede Aenderung an einem abgeschlossenen Monat
steht mit Name, Rolle und Zeit im Protokoll -- geprueft wird jetzt
ausdruecklich, dass dort auch `spicy` auftaucht.

GEPRUEFT: 206 Pruefungen, 0 Fehler (vorher 194)

Die Grenze wird in beide Richtungen gemessen, nicht nur in eine:
Spicy aendert wirklich (200, und der neue Wert steht in der
Datenbank), Spicy loescht wirklich -- aber ein Manager und ein
fremder Scout werden weiterhin abgewiesen (403), und danach steht
immer noch der Wert von Spicy da. Ohne diese Gegenproben hiesse
„Spicy darf" moeglicherweise „jeder darf". Loeschen ist eigens
geprueft: PATCH und DELETE sind zwei Routen, und zwei Routen koennen
auseinanderlaufen.

Auch die Freigabe fuer alte Monate wird nach Spicys Korrektur wieder
geschlossen gemessen -- eine geoeffnete Tuer ist kein Erfolg.

EINE MEINER PRUEFUNGEN WAR WIEDER FALSCH, NICHT DER CODE: Ich hatte
erwartet, dass ein Manager mit einer fremden Nummer in der Adresse
„nicht bearbeitbar" bekommt. Er bekommt `true` -- weil er gar keine
fremde Liste bekommt, sondern seine eigene; die Nummer wird fuer ihn
schlicht nicht beachtet. Richtiges Verhalten, falsche Frage. Gemessen
wird jetzt, was zaehlt: dass bei ihm kein einziger fremder Eintrag
ankommt.

Co-Authored-By: Claude Opus 5 <[email protected]>
This commit is contained in:
DogFatherGit
2026-10-02 17:52:36 +02:00
co-authored by Claude Opus 5
parent b46f75484f
commit baf8288433
49 changed files with 826 additions and 718 deletions
Download Patch File Download Diff File Expand all files Collapse all files
server/workspace-manager-ziele.js
+42 -12
View File
@@ -19,6 +19,12 @@
gleichzeitig es immer ändern können für alle"). Ein Scout muss
nicht dieselbe Zahl schaffen wie DogFather.
DASSELBE GILT SEIT DEM 02.10.2026 FÜRS KORRIGIEREN. Die Vorlage
kannte dort nur DogFather; auf die Rückfrage: „ja spicy und
dogfather". Beides liegt jetzt auf derselben Menge
(`siehtAlles`) — wer alle Zahlen sieht und die Ziele setzt, muss
auch einen Zahlendreher gerade rücken können.
3. DIE PIPELINE IST ANGEBUNDEN, in beide Richtungen. Die Vorlage
kennt nur die Handeingabe. Das Haus hat aber ein vollständiges
Scout-CRM (`leads`), und zwei Listen derselben Rekrutierungen
@@ -151,6 +157,29 @@ export function stufenText(stufe, bisEnde) {
return "";
}
/** Wer fremde Eintraege korrigieren und abgeschlossene Monate oeffnen
* darf.
*
* BEIDE ROLLEN, NICHT NUR DOGFATHER (02.10.2026). Die Vorlage sagte
* „Ausnahme: DogFather"; Filipe auf die Rueckfrage: „ja spicy und
* dogfather". Damit gilt hier dieselbe Menge wie bei den Zielzahlen
* und bei der Team-Uebersicht -- und das ist der eigentliche Grund,
* es so zu machen: Wer die Zahlen aller sieht und die Ziele setzt,
* muss auch einen Zahlendreher gerade ruecken koennen. Zwei
* verschiedene Grenzen fuer „darf alles sehen" und „darf etwas
* richtigstellen" waeren die Stelle, an der sich spaeter niemand
* mehr erklaeren kann, warum ein Knopf fehlt.
*
* ES IST `siehtAlles` UND KEINE EIGENE LISTE. Eine zweite Aufzaehlung
* derselben zwei Rollen waere die, die beim naechsten Umbau
* auseinanderlaeuft.
*
* UND ES BLEIBT NACHVOLLZIEHBAR: Jede Korrektur an einem fremden
* Eintrag und jede Aenderung an einem abgeschlossenen Monat steht
* mit Name und Zeit im Protokoll -- unveraendert, auch jetzt, wo es
* zwei Menschen tun koennen statt einem. */
const darfKorrigieren = (person) => siehtAlles(person);
const RANG = { rot: 0, orange: 1, neutral: 2, gruen: 3, aus: 4 };
/** Die schlechteste Stufe einer Liste — das ist die Farbe der Kachel. */
export function schlechteste(stufen) {
@@ -528,9 +557,10 @@ function dublette(personId, monat, werte, ausser = 0) {
DIE FREIGABE FÜR ABGESCHLOSSENE MONATE
=====================================================================
Nur DogFather, nur für eine einzelne Handlung, nur zwei Minuten.
Die Vorlage sagt „Vergangene Monate sind gesperrt und nicht mehr
bearbeitbar (Ausnahme: DogFather)" — und der Trigger in der
Nur die Leitung (DogFather und Spicy Media), nur für eine einzelne
Handlung, nur zwei Minuten. Die Vorlage sagt „Vergangene Monate
sind gesperrt und nicht mehr bearbeitbar (Ausnahme: DogFather)";
seit dem 02.10.2026 gilt sie für beide — und der Trigger in der
Datenbank kann keine Sitzung lesen. Also wird die Ausnahme ein
sichtbarer Vorgang: Schloss auf, Handlung, Schloss zu, protokolliert.
@@ -577,7 +607,7 @@ managerZieleRouter.get(`${BASIS}/stand`, (req, res) => {
rollenName: ROLLEN_NAME[person.rolle] || person.rolle },
eigen: person.id === req.person.id,
darfZiele: siehtAlles(req.person),
darfKorrigieren: req.person.rolle === "admin",
darfKorrigieren: darfKorrigieren(req.person),
erster: ERSTER_MONAT,
jetztMonat: monatJetzt(),
});
@@ -618,8 +648,8 @@ managerZieleRouter.get(`${BASIS}/eintraege`, (req, res) => {
Spicy Media an einer fremden Liste „Bearbeiten" und
„Löschen" stehen, und der Server antwortete mit 403 — ein
Knopf, der nichts tut, ist schlimmer als kein Knopf. */
bearbeitbar: (personId === req.person.id || req.person.rolle === "admin")
&& (monat === monatJetzt() || req.person.rolle === "admin"),
bearbeitbar: (personId === req.person.id || darfKorrigieren(req.person))
&& (monat === monatJetzt() || darfKorrigieren(req.person)),
});
} catch (fehler) {
console.error("[manager-ziele] Eintraege:", fehler?.message);
@@ -814,8 +844,8 @@ managerZieleRouter.patch(`${BASIS}/eintrag/:id`, (req, res) => {
if (!alt) return res.status(404).json({ fehler: "unbekannt" });
const fremd = alt.person_id !== req.person.id;
const istAdmin = req.person.rolle === "admin";
if (fremd && !istAdmin) return res.status(403).json({ fehler: "nicht_deins" });
const darfEr = darfKorrigieren(req.person);
if (fremd && !darfEr) return res.status(403).json({ fehler: "nicht_deins" });
const heute = tagBerlin();
const gepruefte = eintragPruefen({ ...req.body, aufgabe: alt.aufgabe }, alt.monat, heute);
@@ -834,7 +864,7 @@ managerZieleRouter.patch(`${BASIS}/eintrag/:id`, (req, res) => {
jetzt(), req.person.id, id);
const altMonat = alt.monat !== monatJetzt();
if (altMonat && !istAdmin) return res.status(409).json({ fehler: "monat_gesperrt" });
if (altMonat && !darfEr) return res.status(409).json({ fehler: "monat_gesperrt" });
if (altMonat) mitFreigabe(schreiben); else schreiben();
if (fremd || altMonat) {
@@ -864,11 +894,11 @@ managerZieleRouter.delete(`${BASIS}/eintrag/:id`, (req, res) => {
if (!alt) return res.status(404).json({ fehler: "unbekannt" });
const fremd = alt.person_id !== req.person.id;
const istAdmin = req.person.rolle === "admin";
if (fremd && !istAdmin) return res.status(403).json({ fehler: "nicht_deins" });
const darfEr = darfKorrigieren(req.person);
if (fremd && !darfEr) return res.status(403).json({ fehler: "nicht_deins" });
const altMonat = alt.monat !== monatJetzt();
if (altMonat && !istAdmin) return res.status(409).json({ fehler: "monat_gesperrt" });
if (altMonat && !darfEr) return res.status(409).json({ fehler: "monat_gesperrt" });
const loeschen = () => db().prepare("DELETE FROM mz_eintrag WHERE id = ?").run(id);
if (altMonat) mitFreigabe(loeschen); else loeschen();