feat(platzhalter): Aufloesung, Namensregeln und Shell-Maskierung (#26)

docs/architektur.md

@@ -150,6 +150,32 @@ Die Content-Security-Policy in `src/proxy.ts` ist deshalb zweigeteilt: im Entwic
 Prüfung der Funktion mit selbst gesetztem Argument hätte genau den Fehler durchgelassen, vor dem
 der Kommentar darüber warnt.
 
+## 5c. Warum die Maskierung dort sitzt, wo sie sitzt
+
+Aus einer Vorlage entsteht ein PowerShell-Befehl, den ein Techniker kopiert und auf einem
+Domänencontroller ausführt. Drei Entscheidungen tragen das (#012):
+
+1. **Maskiert wird der eingesetzte Wert, nicht der fertige Befehl.** Sonst maskierte man die
+   Anführungszeichen des Befehls gleich mit. `platzhalterErsetzen` bekommt die Maskierung deshalb
+   als Funktion und wendet sie auf jeden Wert einzeln an.
+2. **Die Maskierung setzt keine Anführungszeichen dazu** — die stehen in der Vorlage. Das ist eine
+   Annahme, und sie wird geprüft: steht ein `{{platzhalter}}` in einem `BEFEHL`-Schritt nicht
+   zwischen den erwarteten Anführungszeichen, wird der Schritt abgewiesen statt gefüllt. Ein halb
+   maskierter Befehl zum Kopieren wäre die gefährlichste aller Antworten.
+3. **Was sich nicht sicher maskieren lässt, wird abgelehnt.** Für Cmd gibt es keine Regel, die ein
+   `"` in jedem Fall richtig behandelt — ein solcher Wert bekommt eine Fehlermeldung, keinen
+   Befehl. PowerShell liest auch `“`, `”` und `„` als Begrenzer; die werden auf ihre ASCII-Form
+   gebracht und dann maskiert, weil sie sich als Text ohnehin nicht durchreichen lassen.
+
+Geprüft wird das **ausgeführt**, nicht gelesen: `tests/shell.test.ts` schickt bösartige Werte durch
+ein echtes `bash -c` und durch ein echtes PowerShell — und wenn auf der Maschine kein `pwsh` liegt,
+nimmt der Test das Container-Abbild. In CI bricht er ab, statt sich zu überspringen; ein stilles
+Überspringen sieht genauso grün aus wie ein bestandener Lauf.
+
+Das **generierte Passwort** entsteht erst beim Ersetzen und wird nirgends zurückgegeben — es gibt
+keinen Weg, es außerhalb des fertigen Texts zu bekommen. Gäbe es ein Feld dafür, wäre die
+Versuchung groß, es „nur fürs Protokoll“ mitzuschreiben.
+
 ## 6. Betrieb: zwei Wege, eine Regel
 
 Die Datenbank ist auf beiden Wegen von außen nicht erreichbar: