Echtes Bestellsystem: Cloudflare D1 statt Beispieldaten in der Verwaltung

Ersetzt die Phase-1-Beispieldaten in /verwaltung/ durch ein echtes, funktionierendes
Bestellsystem:

- Neue D1-Datenbank (vans-diy-bastelbedarf-db) mit orders/order_items-Tabellen,
  an das Pages-Projekt gebunden (wrangler.toml).
- Neue API-Routen (Pages Functions): POST /api/orders legt beim Checkout eine echte
  Bestellung an (mit Validierung); GET/PATCH /api/verwaltung/orders(/:id) listen bzw.
  ändern Bestellungen — beide zusätzlich zur Middleware nochmal eigenständig gegen die
  Zugangscode-Sitzung geprüft (Verteidigung in der Tiefe). Gemeinsame Auth-Logik aus
  _middleware.js nach functions/_shared/auth.js ausgelagert.
- Checkout (4 Sprachen) sendet beim Absenden die echte Bestellung an die API, zeigt bei
  einem Fehler eine klare Meldung statt einfach auf die Danke-Seite weiterzuleiten.
- /verwaltung/ lädt Bestellungen jetzt live per fetch(), mit Lade-/Fehlerzustand, und
  erlaubt direktes Ändern des Bestellstatus per Dropdown (sofort in der Datenbank
  gespeichert). Neuer Status "storniert" (zählt nicht in Umsatz/Auswertung mit).

Vollständig lokal end-to-end getestet (wrangler pages dev + lokale D1): echter
Browser-Checkout -> Bestellung landet in der Datenbank -> erscheint sofort in der
Verwaltung -> Status ändern bleibt nach Neuladen bestehen.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

functions/api/verwaltung/orders.js

@@ -0,0 +1,48 @@
+/* =====================================================================
+   GET /api/verwaltung/orders — liefert ALLE echten Bestellungen (+ Positionen) für die
+   interne Verwaltungsseite (siehe src/pages/verwaltung/index.astro).
+
+   Zusätzlich zur Middleware (functions/_middleware.js, schützt /api/verwaltung/* IMMER,
+   unabhängig von SITE_PUBLIC) prüft diese Route die Sitzung noch einmal selbst — Verteidigung
+   in der Tiefe, falls diese Datei mal unabhängig von der Middleware aufgerufen wird. ===================================================================== */
+
+import { getGateRole, unauthorizedJson } from "../../_shared/auth.js";
+import { json } from "../../_shared/http.js";
+
+export async function onRequestGet(context) {
+  const { request, env } = context;
+
+  const role = await getGateRole(request, env);
+  if (!role) return unauthorizedJson();
+
+  if (!env.DB) {
+    return json(500, { ok: false, error: "Datenbank nicht verbunden." });
+  }
+
+  try {
+    const { results: orders } = await env.DB.prepare(`SELECT * FROM orders ORDER BY created_at DESC`).all();
+
+    if (orders.length === 0) {
+      return json(200, { ok: true, orders: [] });
+    }
+
+    const ids = orders.map((o) => o.id);
+    const placeholders = ids.map(() => "?").join(",");
+    const { results: items } = await env.DB
+      .prepare(`SELECT * FROM order_items WHERE order_id IN (${placeholders}) ORDER BY id ASC`)
+      .bind(...ids)
+      .all();
+
+    const itemsByOrder = new Map();
+    items.forEach((item) => {
+      const liste = itemsByOrder.get(item.order_id) ?? [];
+      liste.push(item);
+      itemsByOrder.set(item.order_id, liste);
+    });
+
+    const result = orders.map((o) => ({ ...o, artikel: itemsByOrder.get(o.id) ?? [] }));
+    return json(200, { ok: true, orders: result });
+  } catch (err) {
+    return json(500, { ok: false, error: "Bestellungen konnten nicht geladen werden." });
+  }
+}