Rollen wechseln: auch Spicy Media -- und DogFather ist nicht mehr vergebbar

Filipe: "ich will dass die rolle spicy und dogfather, auch die rollen
wechseln koennen wenn die personen schon drin sind. von alle
kategorien, creator, scouts, manager spicy. dogfather soll man nicht
auswaehlen koennen. das ist die einzige die man nicht auswaehlen kann
bitte."

ZWEI AENDERUNGEN, BEIDE IN EINER LISTE (ANLEGBAR):
  admin: alles AUSSER der eigenen Rolle
  spicy: spicy, manager, scout, creator   (vorher ohne spicy)

Weil die Oberflaeche ihre Knoepfe aus derselben Auskunft baut
(`darf_anlegen` in /api/ich), verschwindet DogFather damit von selbst
aus JEDER Auswahl -- beim Anlegen wie beim Wechseln, bei Spicy Media
wie bei DogFather. Eine Liste, zwei Formulare, kein Nachziehen.

WAS DAS BEDEUTET, damit es niemand spaeter sucht: Es laesst sich kein
zweiter DogFather-Zugang mehr anlegen und niemand mehr zu einem
befoerdern. Der bestehende ist durch Sicherung 3 geschuetzt (nie den
letzten herabstufen) und kann nicht versehentlich verschwinden.
Zurueckdrehen laesst sich das nur in ANLEGBAR.

DIE TUER: /verwaltung haengt an nurAdmin, und dort steht jetzt eine
DRITTE enge Ausnahme -- PUT auf genau /personen/<Ziffern>/rolle, fuer
genau die Rollen aus darfRollenWechseln(). Gleiche Bauweise wie die
beiden davor (Liste fuer Spicy Media, Liste fuer die rechte Hand). Was
NICHT mitgeht: Codes, Sperren, Loeschen, Zuteilung, Protokoll.

EINE NEUE SICHERUNG, weil sich die Tuer geoeffnet hat: An einer
DogFather-Zeile aendert nur DogFather. Die bestehenden Pruefungen sehen
auf die ZIEL-Rolle ("darfst du 'manager' vergeben?") -- dass die
BETROFFENE Person DogFather ist, kam darin bis heute nicht vor.
Sicherung 3 haette es heute zufaellig abgefangen, weil es genau einen
gibt; eine Sperre, die nur wegen einer Zahl im Bestand haelt, ist
keine.

DIE OBERFLAECHE: "Rolle aendern" und "Loeschen" hingen an EINER Zeile
(`ich.rolle === 'admin'`). Sie gehoeren nicht zusammen -- Loeschen
bleibt bei DogFather. Und die CSS-Regel, die fuer Spicy Media die ganze
Knopfreihe ausblendete, ist weg: Welche Knoepfe es gibt, entscheidet
jetzt personen.js, und was nicht entsteht, muss man nicht verstecken.

pruef-spicy 62 -> 83. Gemessen wird jede der vier Kategorien EINZELN
(waere nur eine offen, saehe "geht" genauso aus), dazu: admin weder von
Spicy Media noch von DogFather vergebbar, an DogFathers Zeile aendert
sie nichts (und er ist danach nachweislich noch admin), ein Manager
kommt an den Weg nicht, loeschen bleibt zu -- und im Browser, dass der
KNOPF da ist, nicht nur das Recht. Genau daran war heute frueh im Chat
eine Stunde draufgegangen.

Dabei zwei eigene Messfehler gefunden: Die Knoepfe entstehen erst in
einer AUFGEKLAPPTEN Kategorie (vorher zu frueh gemessen), und /api/ich
wird jetzt als Vorbedingung geprueft.

DREI PRUEFUNGEN GEDREHT, KEINE GELOESCHT:
- pruef-personen-formular: 7 Karten, `admin` fehlt (eigene Aussage).
  Die Zeichenpruefung verglich die rechte Hand gegen die Admin-KARTE --
  die es nicht mehr gibt; sie lief gegen `undefined`. Ersatz ist das
  Zeichen selbst, und der Kommentar sagt, dass das schwaecher ist.
- pruef-haus-trennung: Der zweite DogFather entsteht jetzt im Bestand
  statt ueber die Schnittstelle, und DASS die Schnittstelle ihn
  ablehnt, ist der erste Prueffall geworden. Sonst waere "nie den
  letzten DogFather" ab heute ungeprueft -- weil ihre Voraussetzung
  schwerer herzustellen ist.
- pruef-creator-anlegen: aus einer Aussage zwei (die vier sind da UND
  admin fehlt).

Gruen: personen-liste, personen-kachel, verborgen, manager-sicht,
creator-anlegen, haus-trennung, personen-formular, spicy, rollen.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace.js

@@ -219,10 +219,35 @@ export const istDogFather = (person) => !!person && person.rolle === "admin";
    endgueltigen Rechten, und den vergibt nur DogFather selbst.
    ======================================================================= */
 const ANLEGBAR = {
-  /* DogFather: alles, was es gibt. Er geht ueber /verwaltung/personen. */
-  admin: [...ROLLEN],
-  /* Spicy Media: das ganze Team, aber keine Leitung ueber sich. */
-  spicy: ["manager", "scout", "creator"],
+  /* DogFather: alles ausser der eigenen Rolle.
+
+     DIE ROLLE "admin" IST SEIT DEM 11.09.2026 NICHT MEHR VERGEBBAR --
+     von niemandem, auch nicht von DogFather selbst. Filipe: "dogfather
+     soll man nicht auswaehlen koennen. das ist die einzige die man
+     nicht auswaehlen kann bitte."
+
+     WAS DAS BEDEUTET, damit es niemand spaeter sucht: Es laesst sich
+     kein zweiter DogFather-Zugang mehr anlegen, und niemand laesst
+     sich zu einem befoerdern. Der bestehende bleibt unberuehrt und ist
+     durch Sicherung 3 (nie den letzten DogFather herabstufen)
+     geschuetzt -- er kann also nicht versehentlich verschwinden.
+     Zurueckdrehen laesst sich das nur hier in dieser Liste.
+
+     Nebenwirkung, und sie ist erwuenscht: Damit gibt es keinen Weg
+     mehr, sich ueber die Oberflaeche zur hoechsten Rolle zu machen. */
+  admin: [...ROLLEN].filter((r) => r !== "admin"),
+  /* Spicy Media: das ganze Team -- und seit dem 11.09.2026 auch die
+     eigene Rolle.
+
+     Filipe: "ich will dass die rolle spicy und dogfather, auch die
+     rollen wechseln koennen wenn die personen schon drin sind. von
+     alle kategorien, creator, scouts, manager spicy."
+
+     Dass jemand seine eigene Rolle weitergeben kann, ist eine
+     Entscheidung und kein Versehen: Spicy Media fuehrt die Agentur.
+     DogFather bleibt trotzdem ausserhalb der Liste -- niemand hebt
+     sich ueber die Rolle, die ihn eingesetzt hat. */
+  spicy: ["spicy", "manager", "scout", "creator"],
   /* Ein Manager stellt Creator ein, die er dann auch betreut. */
   manager: ["creator"],
 };
@@ -247,6 +272,26 @@ export function darfAnlegen(person) {
   return alle.filter((r) => HAUS_TEAM_ROLLEN.has(r));
 }
 
+/** Wer darf die Rolle einer Person aendern, die schon da ist?
+ *
+ *  (11.09.2026) Filipe: "ich will dass die rolle spicy und dogfather,
+ *  auch die rollen wechseln koennen wenn die personen schon drin
+ *  sind."
+ *
+ *  EINE REGEL, DREI BENUTZER: die Schranke in nurAdmin, der Knopf in
+ *  der Oberflaeche (ueber `darf_rollen_wechseln` in /api/ich) und die
+ *  Route selbst. Stuende sie dreimal da, waere die dritte Abschrift
+ *  die, die eine Rolle vergisst -- genau so ist am selben Tag im Chat
+ *  ein Knopf unsichtbar geblieben, obwohl das Recht stimmte.
+ *
+ *  WAS SIE NICHT ENTSCHEIDET: WELCHE Rolle vergeben werden darf. Das
+ *  steht in ANLEGBAR und ist bewusst getrennt -- "darf ueberhaupt
+ *  wechseln" und "darf DIESE Rolle vergeben" sind zwei Fragen, und
+ *  ihre Antworten laufen auseinander, sobald eine Rolle dazukommt.
+ */
+export const darfRollenWechseln = (person) =>
+  !!person && (person.rolle === "admin" || person.rolle === "spicy");
+
 /* WER FUEHRT TEAM DOGI? (10.09.2026)
  *
  * DogFather und seine rechte Hand -- und sonst niemand. Spicy Media und
@@ -3982,6 +4027,12 @@ workspaceRouter.get("/workspace/api/ich", (req, res) => {
        serverseitig offen war. Wer die Antwort nur an einer Stelle hat,
        kann sie nicht an zweien verschieden haben. */
     darf_anlegen: darfAnlegen(person),
+    /* OB DER KNOPF "ROLLE AENDERN" ERSCHEINT (11.09.2026). Aus
+       derselben Regel wie die Schranke dahinter -- die Oberflaeche
+       vergleicht keine Rollennamen mehr selbst. Vorher stand dort
+       `ich.rolle === 'admin'`, und dieselbe Zeile schaltete auch das
+       Loeschen frei; die beiden gehoeren nicht zusammen. */
+    darf_rollen_wechseln: darfRollenWechseln(person),
     /* DIE KACHELN, WENN SIE NICHT IM BROWSER STEHEN DUERFEN.
 
        Fuer die fuenf bekannten Rollen steht hier `null`, und die