Echtes Bestellsystem: Cloudflare D1 statt Beispieldaten in der Verwaltung

Ersetzt die Phase-1-Beispieldaten in /verwaltung/ durch ein echtes, funktionierendes Bestellsystem: - Neue D1-Datenbank (vans-diy-bastelbedarf-db) mit orders/order_items-Tabellen, an das Pages-Projekt gebunden (wrangler.toml). - Neue API-Routen (Pages Functions): POST /api/orders legt beim Checkout eine echte Bestellung an (mit Validierung); GET/PATCH /api/verwaltung/orders(/:id) listen bzw. ändern Bestellungen — beide zusätzlich zur Middleware nochmal eigenständig gegen die Zugangscode-Sitzung geprüft (Verteidigung in der Tiefe). Gemeinsame Auth-Logik aus _middleware.js nach functions/_shared/auth.js ausgelagert. - Checkout (4 Sprachen) sendet beim Absenden die echte Bestellung an die API, zeigt bei einem Fehler eine klare Meldung statt einfach auf die Danke-Seite weiterzuleiten. - /verwaltung/ lädt Bestellungen jetzt live per fetch(), mit Lade-/Fehlerzustand, und erlaubt direktes Ändern des Bestellstatus per Dropdown (sofort in der Datenbank gespeichert). Neuer Status "storniert" (zählt nicht in Umsatz/Auswertung mit). Vollständig lokal end-to-end getestet (wrangler pages dev + lokale D1): echter Browser-Checkout -> Bestellung landet in der Datenbank -> erscheint sofort in der Verwaltung -> Status ändern bleibt nach Neuladen bestehen. Co-Authored-By: Claude Sonnet 5 <[email protected]>
2026-08-03 20:32:46 +02:00
parent 9170b9bb22
commit fb7a7b76c2
14 changed files with 1030 additions and 333 deletions
@@ -0,0 +1,120 @@
+/* =====================================================================
+   POST /api/orders — legt eine echte Bestellung in D1 an (orders + order_items).
+
+   Wird vom Checkout aufgerufen (siehe src/pages/checkout/index.astro), sobald jemand die
+   Bestellung abschickt. BEWUSST nicht dauerhaft hinter dem Zugangscode-Gate (siehe
+   functions/_middleware.js) — sobald der Shop öffentlich ist (SITE_PUBLIC=true), müssen auch
+   echte Kund:innen hier bestellen können, genau wie sie den Checkout selbst erreichen können.
+   Vor dem Live-Gang ist ohnehin die ganze Seite inkl. Checkout hinter dem Gate, d.h. nur
+   qciga/VanVan können bis hierhin überhaupt kommen.
+
+   In Phase 1 gibt es kein echtes Zahlungs-Backend — jede vollständig abgeschickte Bestellung
+   gilt sofort als "bezahlt" (siehe scripts/account.ts, derselbe Grundsatz). ===================================================================== */
+
+import { json } from "../_shared/http.js";
+
+const ERLAUBTE_LAENDER = ["de", "at", "ch", "lu"];
+
+export async function onRequestPost(context) {
+  const { request, env } = context;
+
+  if (!env.DB) {
+    return json(500, { ok: false, error: "Datenbank nicht verbunden." });
+  }
+
+  let body;
+  try {
+    body = await request.json();
+  } catch {
+    return json(400, { ok: false, error: "Ungültige Anfrage." });
+  }
+
+  // ── Validierung: lieber eine klare Fehlermeldung im Checkout als eine kaputte/leere
+  //    Bestellung in der Datenbank. ──
+  const land = String(body.land || "").toLowerCase();
+  if (!ERLAUBTE_LAENDER.includes(land)) {
+    return json(400, { ok: false, error: "Ungültiges Land." });
+  }
+
+  const kunde = body.kunde && typeof body.kunde === "object" ? body.kunde : {};
+  const name = String(kunde.name || "").trim();
+  const email = String(kunde.email || "").trim();
+  if (!name || !email || !email.includes("@")) {
+    return json(400, { ok: false, error: "Ungültige Kundendaten." });
+  }
+
+  const artikel = Array.isArray(body.artikel) ? body.artikel : [];
+  if (artikel.length === 0) {
+    return json(400, { ok: false, error: "Die Bestellung enthält keine Artikel." });
+  }
+  for (const a of artikel) {
+    if (!a || typeof a.slug !== "string" || !a.slug.trim() || typeof a.name !== "string" || !a.name.trim()) {
+      return json(400, { ok: false, error: "Ungültige Artikeldaten." });
+    }
+    if (!Number.isFinite(a.menge) || a.menge <= 0) {
+      return json(400, { ok: false, error: "Ungültige Artikelmenge." });
+    }
+    if (!Number.isFinite(a.preis) || a.preis < 0) {
+      return json(400, { ok: false, error: "Ungültiger Artikelpreis." });
+    }
+  }
+
+  const summe = Number(body.summe);
+  if (!Number.isFinite(summe) || summe < 0) {
+    return json(400, { ok: false, error: "Ungültige Bestellsumme." });
+  }
+  const zwischensumme = Number.isFinite(Number(body.zwischensumme)) ? Number(body.zwischensumme) : 0;
+  const versandkosten = Number.isFinite(Number(body.versandkosten)) ? Number(body.versandkosten) : 0;
+  const rabattGesamt = Number.isFinite(Number(body.rabattGesamt)) ? Number(body.rabattGesamt) : 0;
+
+  const now = new Date().toISOString();
+
+  try {
+    const insertOrder = await env.DB.prepare(
+      `INSERT INTO orders
+         (created_at, updated_at, status, kunde_name, kunde_email, land, strasse, plz, ort,
+          zahlungsart, zwischensumme, versandkosten, rabatt_gesamt, summe,
+          treuebonus_verwendet, abo_rabatt_verwendet)
+       VALUES (?,?,?,?,?,?,?,?,?,?,?,?,?,?,?,?)`
+    )
+      .bind(
+        now,
+        now,
+        "bezahlt",
+        name,
+        email,
+        land,
+        String(kunde.strasse || ""),
+        String(kunde.plz || ""),
+        String(kunde.ort || ""),
+        String(body.zahlungsart || ""),
+        zwischensumme,
+        versandkosten,
+        rabattGesamt,
+        summe,
+        body.treuebonusVerwendet ? 1 : 0,
+        body.aboRabattVerwendet ? 1 : 0
+      )
+      .run();
+
+    const orderId = insertOrder.meta.last_row_id;
+    // Menschenlesbare Bestellnummer wird ERST NACH dem Insert aus der autoinkrementierten,
+    // garantiert eindeutigen ID abgeleitet — keine Race Condition bei zwei gleichzeitigen
+    // Bestellungen (anders als z.B. "COUNT(*) + 1" vorher zu berechnen).
+    const jahr = new Date().getFullYear();
+    const bestellnummer = `VDB-${jahr}-${String(orderId).padStart(4, "0")}`;
+    await env.DB.prepare(`UPDATE orders SET bestellnummer = ? WHERE id = ?`).bind(bestellnummer, orderId).run();
+
+    const itemStmts = artikel.map((a) =>
+      env.DB.prepare(
+        `INSERT INTO order_items (order_id, produkt_slug, name, kategorie_slug, menge, preis, gratis)
+         VALUES (?,?,?,?,?,?,?)`
+      ).bind(orderId, a.slug, a.name, a.kategorie || null, Math.round(a.menge), a.preis, a.gratis ? 1 : 0)
+    );
+    await env.DB.batch(itemStmts);
+
+    return json(201, { ok: true, id: orderId, bestellnummer });
+  } catch (err) {
+    return json(500, { ok: false, error: "Bestellung konnte nicht gespeichert werden." });
+  }
+}