feat(platzhalter): Aufloesung, Namensregeln und Shell-Maskierung

Aus einer Vorlage wird hier der PowerShell-Befehl, den ein Techniker kopiert und
auf einem Domaenencontroller ausfuehrt. Entsprechend dicht ist die Abdeckung:
810 Tests, und die Maskierung wird **ausgefuehrt** geprueft, nicht gelesen.

- Platzhalter aus Geraet, Lauf, Mitarbeiter und Abteilung, dazu die Variablen
  der Vorlage; ein unbekannter bleibt sichtbar stehen
- `{{ou}}` ist der Eltern-Container des DN — genau der Pfad fuer New-ADUser
- Namensregeln fuer upn, sam, mail und hostname mit Transliteration, `{v}`,
  `{nnn}` und `{kundenkuerzel}`; Kundenregeln ueberlagern die globalen feldweise
- Maskierung je Shell, Skript-Kopie je Abschnitt mit Kommentarzeilen
- `{{generiertes_passwort}}`: 20 Zeichen, bei jeder Anzeige neu, nirgends
  gespeichert; im Druck `[Passwort – nicht gespeichert]`

Der unabhaengige Review fand drei Blocker. Der schwerste war eine
Codeausfuehrung: PowerShell liest auch `“`, `”` und `„` als Begrenzer einer
Zeichenkette, die Maskierung kannte nur das ASCII-Zeichen. Ein Abteilungsname
aus Word — Word wandelt `"` von selbst um — reichte. Gefunden hat es der Review
nicht durch Lesen, sondern indem er sich PowerShell in einen Container geholt
und die Markierungsdatei hat entstehen lassen. Der Test dagegen hatte sich still
uebersprungen; er nimmt jetzt selbst das Abbild und bricht in CI ab.

Dazu: zwei verschiedene Passwoerter in einer Antwort (Anzeige und Skript wurden
getrennt gefuellt), eine Vorlagenvariable, die `{{techniker}}` und `{{kunde}}`
ueberschreiben konnte, und die tragende Annahme der Maskierung — dass der
Platzhalter in Anfuehrungszeichen steht —, die niemand geprueft hat.

Schliesst #012

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/devlog.md

@@ -14,11 +14,12 @@ als Unterpunkte mit Aufgabe und Dauer.
 | #009 | M4 – Vorlagen-Versionierung im Service | 1 h 20 min |
 | #010 | M5 – Vorlagen-Editor | 2 h 10 min |
 | #011 | M6 – Mitarbeiter, Abteilungen, Geräte | 2 h 15 min |
-| | **Summe** | **11 h 15 min** |
+| #012 | M7 – Platzhalter, Namensregeln, Escaping | 2 h 30 min |
+| | **Summe** | **13 h 45 min** |
 
 | Meilenstein | Tatsächlich | Status |
 |---|---|---|
-| v0.1.0 | 11 h 15 min | in Arbeit |
+| v0.1.0 | 13 h 45 min | in Arbeit |
 
 ---
 
@@ -452,3 +453,55 @@ als Unterpunkte mit Aufgabe und Dauer.
 
 - #012 Platzhalter, Namensregeln und Escaping: die reine Service-Schicht, aus der die fertigen
   PowerShell-Befehle entstehen — mit dichter Testabdeckung, denn hier darf nichts schiefgehen.
+
+---
+
+## 2026-09-25 · Sitzung 8 · 12:55–15:35
+
+**Issue:** #012 (M7)
+**Version:** 0.1.0
+
+### Erledigt
+
+- `src/lib/shell.ts` (Sub-Agent): Maskierung je Shell, Skript-Kopie mit Kommentarzeilen
+- `src/lib/namensregeln.ts` (Sub-Agent): Transliteration, `{v}`, `{nnn}`, `{kundenkuerzel}`,
+  Grenzen für `sam` und `hostname`
+- `src/lib/passwort.ts`, `src/lib/platzhalter-werte.ts`, `src/server/services/platzhalter.ts` und
+  `src/server/services/befehle.ts`: das generierte Passwort, das Ersetzen und die fertigen Befehle
+- Unabhängiger Review: **drei Blocker**, sieben weitere Befunde, alle abgearbeitet
+- **810 Tests** grün (vorher 797 mit einem stillen Übersprung)
+
+### Entscheidungen
+
+- **PowerShell wird wirklich gegen PowerShell geprüft.** Auf dieser Maschine gibt es kein `pwsh`,
+  also nimmt der Test das Container-Abbild — und in CI bricht er ab, statt sich zu überspringen.
+  Der schwerste Befund des Meilensteins wäre ohne das nie aufgefallen.
+- **Typografische Anführungszeichen werden auf ihre ASCII-Form gebracht und dann maskiert.** Als
+  Text durchreichen lassen sie sich nicht: PowerShell liest sie ohnehin als Begrenzer. Lieber ein
+  Zeichen, das anders aussieht als gedacht, als ein Befehl, der etwas anderes tut als er liest.
+- **Ein Platzhalter außerhalb von Anführungszeichen wird abgewiesen**, nicht gefüllt. Die
+  Maskierung kann daraus kein Argument machen, und ein halb maskierter Befehl zum Kopieren wäre die
+  gefährlichste aller Antworten.
+- **Gesperrt sind fünf Variablennamen, nicht alle eingebauten.** `techniker`, `datum`, `kunde`,
+  `kundenkuerzel` und `generiertes_passwort` machen eine Aussage über wer, wann und für wen. `upn`,
+  `sam` und `mail` bleiben frei — beim Onboarding gibt es die Person im Verzeichnis noch nicht.
+- **Ein `sam` hält drei Stellen frei.** Ein einmal notierter Anmeldename muss auch morgen aus der
+  Regel herausfallen, wenn ein zweiter Träger desselben Namens dazukommt.
+
+### Probleme
+
+- **Ich bin in genau die Falle getappt, die ich in #010 repariert habe:** `$'` als Rückverweis in
+  `String.replaceAll`. Gefunden hat es mein eigener Test gegen echtes Bash — Lesen hätte es nicht
+  gefunden.
+- **Meine erste HTML-Maskierung war doppelt**, weil ich vergessen hatte, dass React Textknoten
+  selbst maskiert. Aufgefallen beim Nachdenken über den Test, nicht beim Schreiben des Codes.
+- **Der Review hat sich PowerShell in einem Container geholt.** Das ist der Unterschied zwischen
+  „nach bestem Wissen richtig“ und „gemessen“ — und der Unterschied war hier eine
+  Codeausführung auf dem Domänencontroller.
+- **Vierter Meilenstein in Folge mit einem Kommentar, der ins Leere zeigt:** ein Testkommentar
+  verwies auf einen Beweis in einer anderen Datei, den es dort nicht gab.
+
+### Nächster Schritt
+
+- #013 Läufe: Service und Abarbeitung — Lauf anlegen, abarbeiten, abschließen, archivieren, mit
+  der Abarbeitungsansicht am Handy.