Echtes Bestellsystem: Cloudflare D1 statt Beispieldaten in der Verwaltung

Ersetzt die Phase-1-Beispieldaten in /verwaltung/ durch ein echtes, funktionierendes
Bestellsystem:

- Neue D1-Datenbank (vans-diy-bastelbedarf-db) mit orders/order_items-Tabellen,
  an das Pages-Projekt gebunden (wrangler.toml).
- Neue API-Routen (Pages Functions): POST /api/orders legt beim Checkout eine echte
  Bestellung an (mit Validierung); GET/PATCH /api/verwaltung/orders(/:id) listen bzw.
  ändern Bestellungen — beide zusätzlich zur Middleware nochmal eigenständig gegen die
  Zugangscode-Sitzung geprüft (Verteidigung in der Tiefe). Gemeinsame Auth-Logik aus
  _middleware.js nach functions/_shared/auth.js ausgelagert.
- Checkout (4 Sprachen) sendet beim Absenden die echte Bestellung an die API, zeigt bei
  einem Fehler eine klare Meldung statt einfach auf die Danke-Seite weiterzuleiten.
- /verwaltung/ lädt Bestellungen jetzt live per fetch(), mit Lade-/Fehlerzustand, und
  erlaubt direktes Ändern des Bestellstatus per Dropdown (sofort in der Datenbank
  gespeichert). Neuer Status "storniert" (zählt nicht in Umsatz/Auswertung mit).

Vollständig lokal end-to-end getestet (wrangler pages dev + lokale D1): echter
Browser-Checkout -> Bestellung landet in der Datenbank -> erscheint sofort in der
Verwaltung -> Status ändern bleibt nach Neuladen bestehen.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

functions/api/verwaltung/orders/[id].js

@@ -0,0 +1,68 @@
+/* =====================================================================
+   PATCH /api/verwaltung/orders/:id — Status (und/oder Tracking-Nummer) einer Bestellung
+   ändern, direkt aus der Verwaltungsseite heraus (siehe src/pages/verwaltung/index.astro).
+
+   Genau wie bei GET /api/verwaltung/orders: zusätzlich zur Middleware-Sperre wird die
+   Sitzung hier noch einmal eigenständig geprüft. ===================================================================== */
+
+import { getGateRole, unauthorizedJson } from "../../../_shared/auth.js";
+import { json } from "../../../_shared/http.js";
+
+const ERLAUBTE_STATUS = ["bezahlt", "bearbeitung", "versandVorbereitet", "versendet", "abgeschlossen", "storniert"];
+
+export async function onRequestPatch(context) {
+  const { request, env, params } = context;
+
+  const role = await getGateRole(request, env);
+  if (!role) return unauthorizedJson();
+
+  if (!env.DB) {
+    return json(500, { ok: false, error: "Datenbank nicht verbunden." });
+  }
+
+  const id = Number(params.id);
+  if (!Number.isInteger(id) || id <= 0) {
+    return json(400, { ok: false, error: "Ungültige Bestell-ID." });
+  }
+
+  let body;
+  try {
+    body = await request.json();
+  } catch {
+    return json(400, { ok: false, error: "Ungültige Anfrage." });
+  }
+
+  const updates = [];
+  const values = [];
+
+  if (body.status !== undefined) {
+    if (!ERLAUBTE_STATUS.includes(body.status)) {
+      return json(400, { ok: false, error: "Ungültiger Status." });
+    }
+    updates.push("status = ?");
+    values.push(body.status);
+  }
+  if (body.tracking !== undefined) {
+    updates.push("tracking = ?");
+    values.push(String(body.tracking || ""));
+  }
+  if (updates.length === 0) {
+    return json(400, { ok: false, error: "Nichts zu ändern übergeben." });
+  }
+
+  updates.push("updated_at = ?");
+  values.push(new Date().toISOString());
+  values.push(id);
+
+  try {
+    const result = await env.DB.prepare(`UPDATE orders SET ${updates.join(", ")} WHERE id = ?`)
+      .bind(...values)
+      .run();
+    if (result.meta.changes === 0) {
+      return json(404, { ok: false, error: "Bestellung nicht gefunden." });
+    }
+    return json(200, { ok: true });
+  } catch (err) {
+    return json(500, { ok: false, error: "Bestellung konnte nicht aktualisiert werden." });
+  }
+}