Files
dogfather-universe/workspace/assets/js/profil.js
T
DogFatherGitandClaude Opus 5 299ef0d506 Eigenes Profil fuer jeden - mit Bild und Kanaelen
SCREEN 1: Jeder im Workspace hat jetzt seinen eigenen Steckbrief --
Creator, Scout, Manager und DogFather gleichermassen. Ein Bild, ein Satz
ueber sich, und die Kanaele, auf denen er unterwegs ist. Er steht ganz
oben auf profil.html, ueber der Creator-Akte; die ist etwas anderes
(die fuehren die Betreuer, den Steckbrief fuehrt man selbst).

Das Bild erscheint sofort ueberall: in der Kopfleiste jeder Seite und in
der Begruessung. /api/ich liefert es deshalb gleich mit -- das spart auf
jeder Seite eine zweite Abfrage und verhindert, dass die Plakette erst
als Buchstabe erscheint und dann umspringt. Faellt das Bild aus, steht
der Buchstabe da: Er wird nicht ersetzt, sondern liegt darunter.

WARUM KEINE ECHTE TIKTOK-ANMELDUNG. "Mit TikTok verbinden" klingt nach
OAuth. Das waere: ein Entwicklerkonto mit App-Freischaltung, eine
Pruefung durch TikTok (Wochen, widerrufbar), je Person ein Zugriffstoken,
das ablaeuft, erneuert werden muss und -- wenn es abhandenkommt --
fremden Zugriff auf ein fremdes Konto bedeutet. Dafuer bekaeme man
Follower-Zahlen.

Gebraucht wird hier aber "Wer ist das, und wo finde ich ihn?". Dafuer
genuegt der oeffentliche Name. Gespeichert wird deshalb NUR das Handle --
kein Token, kein Passwort, nichts, was abhandenkommen kann. Daraus wird
ein Verweis auf den Kanal. Vier Kanaele: TikTok, Instagram, YouTube,
Twitch. Sollen spaeter echte Zahlen dazukommen, ist das ein eigenes
Vorhaben -- der Name hier bleibt dann trotzdem richtig.

Eingefuegt werden darf, was Leute wirklich in der Zwischenablage haben:
"@name", "https://www.tiktok.com/@name" oder der Name allein. Alles wird
auf den Namen zurueckgefuehrt, statt eine Fehlermeldung zu zeigen.

SICHERHEIT beim Bild -- die drei Stellen, an denen Profilbilder
typischerweise scheitern:
  1. Der Typ wird an der SIGNATUR der Datei geprueft, nicht am
     Content-Type, den der Absender behauptet. Ein umbenanntes SVG mit
     Skript darin kaeme sonst durch und liefe im Namen der Domain --
     mit der Sitzung des Betrachters.
  2. Auf der Platte bekommt jede Datei einen Zufallsnamen. Kein Name
     kann Pfade verlassen oder etwas ueberschreiben.
  3. Ausgeliefert mit nosniff und einer eigenen, alles verbietenden
     Inhaltsregel.
Das Bild liegt als Datei neben der Datenbank, nicht darin: Bilder in
SQLite blaehen jede Sicherung auf, und die laeuft jede Nacht.

Niemand schreibt einem anderen ins Profil -- auch DogFather nicht. Ein
Satz ueber sich und der eigene Kanalname gehoeren der Person. Wer wen
SEHEN darf, folgt der bekannten Regel: Leitung alle, Scout seine
Creator, Creator sich und seine Betreuer. Fremde Profile sind 404, nicht
403.

ZWEI FUNDE DURCH DIE PRUEFUNG:
- Der TikTok-Link, den die App beim Teilen kopiert, endet auf
  "?lang=de&is_from_webapp=1". Der wurde abgelehnt: "sieht nicht richtig
  aus" -- obwohl es der offizielle Link ist. Jetzt werden Parameter und
  Anker mit abgeschnitten.
- Ein zu grosses Bild ergab "500 Serverfehler" statt einer Ansage. Der
  PayloadTooLargeError lief bis in die allgemeine Fehlerbehandlung
  durch. Jetzt 413 mit dem Satz, wie viel erlaubt ist. Von Hand haette
  das vermutlich nie jemand probiert.

Vor der Schemaaenderung wurde eine geprueft vollstaendige Sicherung
gezogen (VACUUM INTO, Integritaet ok, 6 Personen).

Co-Authored-By: Claude Opus 5 <[email protected]>
2026-09-01 11:31:34 +02:00

329 lines
12 KiB
JavaScript

/* ===================================================================
Creator-Profil.
Welche Felder überhaupt ankommen, entscheidet der Server anhand der
Rolle -- `admin_notiz` fehlt in der Antwort an einen Creator komplett.
Diese Datei blendet deshalb nur aus, was ohnehin nicht da ist.
=================================================================== */
(() => {
'use strict';
/* DogFather und Manager haben dieselben Rechte -- die Unterscheidung
macht nur die Personenverwaltung, und die prueft der Server. */
const LEITUNG = new Set(['admin', 'manager']);
const OFFEN = ['handles', 'nische', 'live_zeiten', 'technik',
'ziel_live', 'ziel_content', 'ziel_community', 'ziel_technik',
'plan_prio1', 'plan_prio2', 'plan_prio3'];
const NUR_ADMIN = ['plan_start', 'naechster_review', 'admin_notiz'];
const $ = (id) => document.getElementById(id);
let ich = null;
let aktuell = null;
let darfAlles = false;
const melde = (t) => { $('fehler').textContent = t || ''; };
async function hole(pfad, optionen = {}) {
const a = await fetch(pfad, { credentials: 'same-origin', ...optionen });
if (a.status === 401) { location.assign('/workspace/'); throw new Error('abgemeldet'); }
return a;
}
function fuelle(profil) {
for (const f of [...OFFEN, ...NUR_ADMIN]) {
const feld = $(f);
if (!feld) continue;
/* undefined heißt: Der Server hat das Feld nicht geschickt (fehlende
Berechtigung). Dann bleibt es leer und wird auch nicht gesendet. */
feld.value = profil[f] ?? '';
}
}
function datumHuebsch(iso) {
return iso.slice(0, 10).split('-').reverse().join('.');
}
async function profilLaden(id) {
melde('');
try {
const a = await hole('/workspace/api/profil/' + id);
if (!a.ok) { melde('Profil konnte nicht geladen werden.'); return; }
const daten = await a.json();
aktuell = daten.person.id;
darfAlles = daten.darf_alles;
$('titel').textContent = LEITUNG.has(ich.rolle)
? 'Profil: ' + daten.person.name
: 'Mein Profil';
$('unterzeile').textContent = daten.profil.geaendert
? 'Zuletzt geändert am ' + datumHuebsch(daten.profil.geaendert)
: 'Noch nichts eingetragen.';
$('gruppe-intern').hidden = !darfAlles;
$('termine').hidden = !darfAlles;
fuelle(daten.profil);
$('formular').hidden = false;
} catch { /* umgeleitet */ }
}
$('formular').addEventListener('submit', async (e) => {
e.preventDefault();
melde('');
const knopf = $('speichern');
const daten = {};
for (const f of darfAlles ? [...OFFEN, ...NUR_ADMIN] : OFFEN) {
const feld = $(f);
if (feld) daten[f] = feld.value;
}
knopf.disabled = true;
$('stand').textContent = 'Speichere …';
try {
const a = await hole('/workspace/api/profil/' + aktuell, {
method: 'PUT',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify(daten),
});
if (!a.ok) {
melde((await a.json().catch(() => ({}))).fehler || 'Speichern ging nicht.');
$('stand').textContent = '';
return;
}
$('stand').textContent = 'Gespeichert ✓';
setTimeout(() => { $('stand').textContent = ''; }, 2600);
} catch { /* umgeleitet */ } finally { knopf.disabled = false; }
});
(async () => {
try {
const a = await hole('/workspace/api/ich');
if (!a.ok) { location.assign('/workspace/'); return; }
ich = await a.json();
} catch { return; }
/* Scouts betreuen ihre zugeteilten Creator wie DogFather --
sie sehen aber nur die management-internen Felder nicht. */
window.werZeigen?.(ich);
let liste;
try { liste = await (await hole('/workspace/api/profil')).json(); } catch { return; }
if (LEITUNG.has(ich.rolle) || ich.rolle === 'scout') {
if (!liste.creator.length) {
$('unterzeile').textContent = ich.rolle === 'scout'
? 'Dir ist noch kein Creator zugeteilt. DogFather legt fest, wen du betreust.'
: 'Es gibt noch keinen Creator. Lege zuerst unter Personen & Zugänge einen an.';
return;
}
if (ich.rolle === 'scout') {
$('unterzeile').textContent = liste.creator.length === 1
? 'Der Creator, den du betreust.'
: `Die ${liste.creator.length} Creator, die du betreust.`;
}
$('auswahl-block').hidden = false;
for (const c of liste.creator) {
const o = document.createElement('option');
o.value = String(c.id);
o.textContent = c.name + (c.aktiv ? '' : ' (gesperrt)');
$('auswahl').append(o);
}
$('auswahl').addEventListener('change', () => profilLaden(Number($('auswahl').value)));
await profilLaden(liste.creator[0].id);
} else {
await profilLaden(ich.id);
}
})();
})();
/* ===================================================================
Der eigene Steckbrief.
Läuft unabhängig vom Creator-Formular darüber: Den Steckbrief hat
JEDER (auch Scouts, Manager und DogFather), die Creator-Akte nur ein
Creator. Deshalb ein eigener, abgeschlossener Block -- fällt einer
von beiden aus, steht der andere weiterhin.
=================================================================== */
(() => {
'use strict';
const $ = (id) => document.getElementById(id);
const block = $('steckbrief');
if (!block) return;
let stand = null;
async function hole(pfad, optionen = {}) {
const a = await fetch(pfad, { credentials: 'same-origin', ...optionen });
if (a.status === 401) { location.assign('/workspace/'); throw new Error('abgemeldet'); }
return a;
}
const melde = (t) => { $('sb-fehler').textContent = t || ''; };
const sage = (t) => {
$('sb-stand').textContent = t || '';
if (t) setTimeout(() => { if ($('sb-stand').textContent === t) $('sb-stand').textContent = ''; }, 4000);
};
function bildZeigen(quelle, name) {
const feld = $('sb-bild');
feld.textContent = '';
if (quelle) {
const b = document.createElement('img');
b.src = quelle;
b.alt = '';
/* Fällt das Bild aus, erscheint der Buchstabe -- nicht das kaputte
Bildsymbol des Browsers. */
b.addEventListener('error', () => { b.remove(); feld.textContent = anfang(name); });
feld.append(b);
$('sb-bild-weg').hidden = false;
} else {
feld.textContent = anfang(name);
$('sb-bild-weg').hidden = true;
}
}
const anfang = (n) => (n || '?').trim().charAt(0).toUpperCase();
function kanaeleBauen(kanaele, vorhanden) {
const ziel = $('sb-kanaele');
ziel.textContent = '';
for (const k of kanaele) {
const zeile = document.createElement('div');
zeile.className = 'kanal';
zeile.dataset.art = k.art;
const schild = document.createElement('label');
schild.className = 'kanal__name';
schild.setAttribute('for', 'sb-' + k.art);
schild.textContent = k.name;
const feld = document.createElement('div');
feld.className = 'kanal__feld';
const at = document.createElement('span');
at.className = 'kanal__at';
at.setAttribute('aria-hidden', 'true');
at.textContent = '@';
const eingabe = document.createElement('input');
eingabe.id = 'sb-' + k.art;
eingabe.type = 'text';
eingabe.maxLength = 40;
eingabe.autocomplete = 'off';
eingabe.placeholder = 'dein Name';
const da = vorhanden.find((v) => v.art === k.art);
eingabe.value = da ? da.handle : '';
feld.append(at, eingabe);
zeile.append(schild, feld);
/* Ein Verweis erscheint erst, wenn wirklich ein Name da ist -- ein
Knopf, der ins Leere führt, ist schlimmer als keiner. */
if (da) {
const a = document.createElement('a');
a.className = 'kanal__auf';
a.href = da.adresse;
a.target = '_blank';
a.rel = 'noopener noreferrer';
a.textContent = 'öffnen';
zeile.append(a);
}
ziel.append(zeile);
}
}
function zeichne(sb, kanaele) {
stand = sb;
$('sb-name').textContent = sb.name;
$('sb-rolle').textContent = sb.rolle_name;
$('sb-rolle').dataset.rolle = sb.rolle;
$('sb-ueber').value = sb.ueber_mich || '';
bildZeigen(sb.bild, sb.name);
kanaeleBauen(kanaele, sb.kanaele);
block.hidden = false;
}
/* ---------- Bild hochladen ---------------------------------------------
Roh im Rumpf statt als multipart -- dasselbe Verfahren wie in der
Dateiablage. Kein Parsen von multipart im Server, keine zusätzliche
Abhängigkeit. */
$('sb-datei').addEventListener('change', async (e) => {
const datei = e.target.files?.[0];
if (!datei) return;
melde('');
if (datei.size > 4 * 1024 * 1024) {
melde('Das Bild ist größer als 4 MB. Bitte ein kleineres nehmen.');
e.target.value = '';
return;
}
sage('Bild wird hochgeladen …');
try {
const a = await hole('/workspace/api/steckbrief/bild', {
method: 'POST',
headers: { 'Content-Type': 'application/octet-stream' },
body: datei,
});
const antwort = await a.json().catch(() => ({}));
if (!a.ok) { melde(antwort.fehler || 'Das Hochladen ging nicht.'); sage(''); return; }
bildZeigen(antwort.bild, stand?.name);
sage('Bild gespeichert.');
/* Auch oben rechts in der Kopfleiste soll sofort das neue Bild
stehen -- sonst müsste man die Seite neu laden, um es zu sehen. */
const oben = document.querySelector('.wer__zeichen');
if (oben) {
oben.querySelector('.wer__bild')?.remove();
const b = document.createElement('img');
b.className = 'wer__bild';
b.src = antwort.bild;
b.alt = '';
oben.append(b);
}
} catch { /* umgeleitet */ } finally { e.target.value = ''; }
});
$('sb-bild-weg').addEventListener('click', async () => {
if (!confirm('Profilbild entfernen?')) return;
try {
const a = await hole('/workspace/api/steckbrief/bild', { method: 'DELETE' });
if (!a.ok) { melde('Entfernen ging nicht.'); return; }
bildZeigen(null, stand?.name);
document.querySelector('.wer__bild')?.remove();
sage('Bild entfernt.');
} catch { /* umgeleitet */ }
});
/* ---------- Speichern ---------------------------------------------------- */
$('sb-speichern').addEventListener('click', async () => {
melde('');
const knopf = $('sb-speichern');
const koerper = { ueber_mich: $('sb-ueber').value };
for (const zeile of document.querySelectorAll('#sb-kanaele .kanal')) {
koerper[zeile.dataset.art] = zeile.querySelector('input').value;
}
knopf.disabled = true;
try {
const a = await hole('/workspace/api/steckbrief/mein', {
method: 'PATCH',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify(koerper),
});
const antwort = await a.json().catch(() => ({}));
if (!a.ok) { melde(antwort.fehler || 'Speichern ging nicht.'); return; }
/* Neu zeichnen, damit die "öffnen"-Verweise zu den frisch
eingetragenen Namen sofort erscheinen. */
zeichne(antwort.steckbrief, KANAELE);
sage('Profil gespeichert.');
} catch { /* umgeleitet */ } finally { knopf.disabled = false; }
});
let KANAELE = [];
(async () => {
try {
const a = await hole('/workspace/api/steckbrief/mein');
if (!a.ok) return;
const { steckbrief, kanaele } = await a.json();
KANAELE = kanaele;
zeichne(steckbrief, kanaele);
} catch { /* umgeleitet oder nicht verfügbar -- die Seite bleibt nutzbar */ }
})();
})();