dogfather-universe/server/workspace-bereiche.js

/* =====================================================================
   workspace-bereiche.js — LIVE, Content, Technik, Community und Schutz.

   Diese fuenf Bereiche aus Phase 2 haben im Konzept dieselbe Grundform:
   Eintraege zu einem Creator, mit Art, Datum, Titel, Text und Status.
   Sie unterscheiden sich nur darin, WELCHE Arten es gibt und ob eine
   Bewertung oder eine Dringlichkeit dazugehoert.

   Deshalb ein gemeinsamer Unterbau statt fuenf fast gleicher Module:
   eine Tabelle, eine Sichtbarkeitsregel, eine Pruefung. Ein Fehler laesst
   sich damit an einer Stelle beheben statt an fuenf, und ein neuer
   Bereich ist ein Eintrag in BEREICHE -- kein neues Modul.

   Die Feldnamen und Arten stammen woertlich aus dem Deck (Seiten 7-12).
   ===================================================================== */

import express from "express";
import {
  db, protokolliere, echteIp, sitzungLesen, betreutWo, darfCreator, betreuteIds,
} from "./workspace.js";

export const bereicheRouter = express.Router();

/* Die Bereiche und ihre Arten. Bewusst hier und nicht in der Datenbank:
   Es sind Festlegungen aus dem Konzept, keine Nutzdaten. */
export const BEREICHE = {
  live: {
    name: "LIVE-Analyse",
    arten: { vorbereitung: "Vorbereitung", mitschrift: "Während LIVE", auswertung: "Auswertung" },
    bewertung: true,          // Review-Score aus dem Konzept, Seite 7
    dringlichkeit: false,
  },
  content: {
    name: "Content-Planung",
    arten: { idee: "Idee", produktion: "Produktion", veroeffentlicht: "Veröffentlicht" },
    bewertung: false,
    dringlichkeit: false,
  },
  technik: {
    name: "Technik",
    arten: { setup: "Setup", problem: "Problem", loesung: "Lösung", anleitung: "Anleitung" },
    bewertung: false,
    dringlichkeit: true,
  },
  community: {
    name: "Community",
    arten: { moderation: "Moderation", aktion: "Aktion", konflikt: "Konflikt" },
    bewertung: false,
    dringlichkeit: true,
  },
  schutz: {
    name: "Schutz & Regeln",
    arten: { richtlinie: "Richtlinie", vorfall: "Vorfall", eskalation: "Eskalation", gelernt: "Gelernt" },
    bewertung: false,
    dringlichkeit: true,
  },
};

const DRINGLICHKEITEN = ["hoch", "mittel", "niedrig"];
const STATUS = ["offen", "erledigt"];
const TITEL_MAX = 160;
const TEXT_MAX = 6000;

const jetzt = () => new Date().toISOString();

function angemeldet(req, res, next) {
  const person = sitzungLesen(req);
  if (!person) return res.status(401).json({ fehler: "nicht_angemeldet" });
  req.person = person;
  next();
}

function gleicheHerkunft(req, res, next) {
  const herkunft = req.get("origin");
  if (!herkunft) return next();
  let erlaubt;
  try { erlaubt = new URL(herkunft).host === req.get("host"); } catch { erlaubt = false; }
  if (!erlaubt) return res.status(403).json({ fehler: "fremde_herkunft" });
  next();
}

bereicheRouter.use("/workspace/api/bereich", angemeldet);

/* Scouts haben mit der Creator-Betreuung nichts zu tun -- sie sehen hier
   nichts. Creator sehen ihren eigenen Bereich, das Management alles. */
function sichtbar(person) {
  if (person.rolle === "admin") return { wo: "1=1", werte: [] };
  if (person.rolle === "creator") return { wo: "e.creator_id = ?", werte: [person.id] };
  /* Ein Scout sieht die Bereiche der Creator, die er betreut -- und ohne
     Zuteilung gar nichts (null heisst: Bereich existiert fuer dich nicht). */
  return betreutWo(person, "e.creator_id");
}

const SPALTEN = `
  e.id, e.bereich, e.art, e.titel, e.text, e.datum, e.bewertung,
  e.dringlichkeit, e.status, e.creator_id, e.erstellt, e.erstellt_von, e.geaendert,
  pc.name AS creator_name, pe.name AS erstellt_name`;

const VERBUND = `
  FROM eintraege e
  LEFT JOIN personen pc ON pc.id = e.creator_id
  LEFT JOIN personen pe ON pe.id = e.erstellt_von`;

/* ---------- Lesen ------------------------------------------------------- */

bereicheRouter.get("/workspace/api/bereich/:bereich", (req, res) => {
  try {
    const bereich = String(req.params.bereich);
    const einstellung = BEREICHE[bereich];
    if (!einstellung) return res.status(404).json({ fehler: "nicht_gefunden" });

    const regel = sichtbar(req.person);
    if (!regel) return res.status(404).json({ fehler: "nicht_gefunden" });

    const eintraege = db().prepare(`
      SELECT ${SPALTEN} ${VERBUND}
      WHERE ${regel.wo} AND e.bereich = ?
      ORDER BY
        CASE e.status WHEN 'offen' THEN 0 ELSE 1 END,
        CASE e.dringlichkeit WHEN 'hoch' THEN 0 WHEN 'mittel' THEN 1 ELSE 2 END,
        e.datum DESC, e.id DESC`).all(...regel.werte, bereich);

    res.json({ bereich, einstellung, eintraege });
  } catch (fehler) {
    console.error("[workspace] Bereich lesen:", fehler?.message);
    res.status(503).json({ fehler: "nicht_verfuegbar" });
  }
});

/* ---------- Prüfen ------------------------------------------------------- */

function pruefe(bereich, körper, { neu }) {
  const einstellung = BEREICHE[bereich];
  const fehler = [];
  const aus = {};

  if (neu || körper.titel !== undefined) {
    const t = String(körper.titel ?? "").trim();
    if (t.length < 2) fehler.push("Titel fehlt.");
    else if (t.length > TITEL_MAX) fehler.push("Titel ist zu lang.");
    else aus.titel = t;
  }
  if (neu || körper.art !== undefined) {
    const a = String(körper.art ?? "");
    if (!Object.hasOwn(einstellung.arten, a)) fehler.push("Unbekannte Art.");
    else aus.art = a;
  }
  if (körper.text !== undefined) {
    const t = String(körper.text ?? "").trim();
    if (t.length > TEXT_MAX) fehler.push("Text ist zu lang.");
    else aus.text = t || null;
  }
  if (neu || körper.datum !== undefined) {
    const d = String(körper.datum ?? "").trim();
    if (!d) aus.datum = jetzt().slice(0, 10);
    else if (!/^\d{4}-\d{2}-\d{2}$/.test(d) || Number.isNaN(Date.parse(d))) {
      fehler.push("Datum ist ungültig.");
    } else aus.datum = d;
  }
  if (körper.status !== undefined) {
    if (!STATUS.includes(körper.status)) fehler.push("Unbekannter Status.");
    else aus.status = körper.status;
  }
  /* Bewertung und Dringlichkeit gibt es nur dort, wo der Bereich sie
     vorsieht -- sonst werden sie stillschweigend verworfen. */
  if (einstellung.bewertung && körper.bewertung !== undefined) {
    if (körper.bewertung === null || körper.bewertung === "") aus.bewertung = null;
    else {
      const b = Number(körper.bewertung);
      if (!Number.isInteger(b) || b < 1 || b > 5) fehler.push("Bewertung muss 1 bis 5 sein.");
      else aus.bewertung = b;
    }
  }
  if (einstellung.dringlichkeit && körper.dringlichkeit !== undefined) {
    if (!DRINGLICHKEITEN.includes(körper.dringlichkeit)) fehler.push("Unbekannte Dringlichkeit.");
    else aus.dringlichkeit = körper.dringlichkeit;
  }
  if (körper.creator_id !== undefined) {
    const w = körper.creator_id;
    if (w === null || w === "") aus.creator_id = null;
    else {
      const z = Number(w);
      if (!Number.isInteger(z) || z < 1) fehler.push("Ungültige Zuordnung.");
      else aus.creator_id = z;
    }
  }
  return { aus, fehler };
}

/* ---------- Anlegen ------------------------------------------------------ */

bereicheRouter.post("/workspace/api/bereich/:bereich", gleicheHerkunft, (req, res) => {
  try {
    const bereich = String(req.params.bereich);
    if (!BEREICHE[bereich]) return res.status(404).json({ fehler: "nicht_gefunden" });
    const regel = sichtbar(req.person);
    if (!regel) return res.status(404).json({ fehler: "nicht_gefunden" });

    const { aus, fehler } = pruefe(bereich, req.body || {}, { neu: true });
    if (fehler.length) return res.status(400).json({ fehler: fehler.join(" ") });

    /* Ein Creator schreibt immer in den eigenen Bereich, egal was im
       Aufruf steht. Ein Scout in den eines Creators, den er betreut --
       niemals in einen fremden und niemals "auf sich selbst", denn ein
       Scout hat gar keinen eigenen Betreuungsbereich. */
    if (req.person.rolle === "creator") {
      aus.creator_id = req.person.id;
    } else if (req.person.rolle === "scout") {
      const w = Number(aus.creator_id);
      if (!darfCreator(req.person, w)) {
        const erster = betreuteIds(req.person)[0];
        if (!erster) return res.status(403).json({ fehler: "Dir ist kein Creator zugeteilt." });
        aus.creator_id = erster;
      }
    }
    if (aus.creator_id
        && !db().prepare("SELECT 1 FROM personen WHERE id = ? AND rolle = 'creator'").get(aus.creator_id)) {
      return res.status(400).json({ fehler: "Zugeordneter Creator existiert nicht." });
    }

    const { lastInsertRowid } = db().prepare(`
      INSERT INTO eintraege
        (bereich, art, titel, text, datum, bewertung, dringlichkeit, status,
         creator_id, erstellt, erstellt_von)
      VALUES (?,?,?,?,?,?,?,?,?,?,?)`).run(
      bereich, aus.art, aus.titel, aus.text ?? null, aus.datum,
      aus.bewertung ?? null, aus.dringlichkeit ?? "mittel", aus.status ?? "offen",
      aus.creator_id ?? null, jetzt(), req.person.id);

    protokolliere("eintrag_angelegt", {
      personId: req.person.id, rolle: req.person.rolle, ip: echteIp(req),
      detail: `${bereich} #${lastInsertRowid} ${aus.titel}`.slice(0, 120),
    });
    res.status(201).json({ id: Number(lastInsertRowid) });
  } catch (fehler) {
    console.error("[workspace] Eintrag anlegen:", fehler?.message);
    res.status(503).json({ fehler: "nicht_verfuegbar" });
  }
});

/* ---------- Ändern und Löschen ------------------------------------------- */

function holen(req, id) {
  const regel = sichtbar(req.person);
  if (!regel) return null;
  return db().prepare(`SELECT e.* ${VERBUND} WHERE ${regel.wo} AND e.id = ?`)
    .get(...regel.werte, id);
}

bereicheRouter.patch("/workspace/api/bereich/:bereich/:id", gleicheHerkunft, (req, res) => {
  try {
    const bereich = String(req.params.bereich);
    const id = Number(req.params.id);
    if (!BEREICHE[bereich] || !Number.isInteger(id)) return res.status(400).json({ fehler: "ungueltig" });

    const eintrag = holen(req, id);
    if (!eintrag || eintrag.bereich !== bereich) return res.status(404).json({ fehler: "nicht_gefunden" });

    const { aus, fehler } = pruefe(bereich, req.body || {}, { neu: false });
    if (fehler.length) return res.status(400).json({ fehler: fehler.join(" ") });
    if (req.person.rolle !== "admin") delete aus.creator_id;

    const felder = Object.keys(aus);
    if (!felder.length) return res.status(400).json({ fehler: "nichts_zu_aendern" });

    db().prepare(
      `UPDATE eintraege SET ${felder.map((f) => `${f} = ?`).join(", ")}, geaendert = ? WHERE id = ?`
    ).run(...felder.map((f) => aus[f]), jetzt(), id);

    protokolliere("eintrag_geaendert", {
      personId: req.person.id, rolle: req.person.rolle, ip: echteIp(req),
      detail: `${bereich} #${id} ${felder.join(",")}`.slice(0, 120),
    });
    res.json({ ok: true });
  } catch (fehler) {
    console.error("[workspace] Eintrag ändern:", fehler?.message);
    res.status(503).json({ fehler: "nicht_verfuegbar" });
  }
});

bereicheRouter.delete("/workspace/api/bereich/:bereich/:id", gleicheHerkunft, (req, res) => {
  try {
    const bereich = String(req.params.bereich);
    const id = Number(req.params.id);
    if (!BEREICHE[bereich] || !Number.isInteger(id)) return res.status(400).json({ fehler: "ungueltig" });

    const eintrag = holen(req, id);
    if (!eintrag || eintrag.bereich !== bereich) return res.status(404).json({ fehler: "nicht_gefunden" });

    /* Löschen darf das Management und wer den Eintrag selbst geschrieben
       hat -- sonst könnte ein Creator eine Notiz des Managements über
       seinen eigenen Bereich verschwinden lassen. */
    if (req.person.rolle !== "admin" && eintrag.erstellt_von !== req.person.id) {
      return res.status(403).json({ fehler: "nicht_erlaubt" });
    }

    db().prepare("DELETE FROM eintraege WHERE id = ?").run(id);
    protokolliere("eintrag_geloescht", {
      personId: req.person.id, rolle: req.person.rolle, ip: echteIp(req),
      detail: `${bereich} #${id} ${eintrag.titel}`.slice(0, 120),
    });
    res.json({ ok: true });
  } catch (fehler) {
    console.error("[workspace] Eintrag löschen:", fehler?.message);
    res.status(503).json({ fehler: "nicht_verfuegbar" });
  }
});