Laufzettel/docs/devlog.md

# DEVLOG – Laufzettel

Entwicklungstagebuch mit Zeiterfassung. Eine Sitzung ist ein Abschnitt; Sub-Agenten-Läufe stehen
als Unterpunkte mit Aufgabe und Dauer.

## Zeitübersicht

| Issue | Titel | Tatsächlich |
|---|---|---|
| #005 | M0 – Gerüst, Prozess, Design-Token | 1 h 25 min |
| #006 | M1 – Datenmodell | 1 h 10 min |
| #007 | M2 – Auth, Rollen, Benutzer | 1 h 35 min |
| #008 | M3 – Betriebsmodus und Kunden | 1 h 20 min |
| #009 | M4 – Vorlagen-Versionierung im Service | 1 h 20 min |
| #010 | M5 – Vorlagen-Editor | 2 h 10 min |
| #011 | M6 – Mitarbeiter, Abteilungen, Geräte | 2 h 15 min |
| #012 | M7 – Platzhalter, Namensregeln, Escaping | 2 h 30 min |
| #013 | M8 – Läufe: Service und Abarbeitung | 3 h 05 min |
| | **Summe** | **16 h 50 min** |

| Meilenstein | Tatsächlich | Status |
|---|---|---|
| v0.1.0 | 16 h 50 min | in Arbeit |

---

## 2026-09-24 · Sitzung 1 · 22:05–23:30

**Issue:** #005 (M0)
**Version:** 0.1.0

### Erledigt

- Umgebung geprüft: Node v24.21.0 nur über nvm (nicht im `PATH` nicht-interaktiver Shells),
  Docker 29.1.3, Chromium-Systembibliotheken vorhanden, kein `pandoc`
- Gitea aufgesetzt: 11 Labels, 5 Meilensteine (`v0.1.0`–`v0.5.0`), 19 Issues (#1–#19), Nummern
  passen zu den Dateinamen unter `docs/issues/`
- Projektgerüst angelegt und alle vier Schranken grün: `lint`, `typecheck`, `test`, `build`
- Betriebsstand gehärtet und der Nachweis in `tests/betriebsstand.test.ts` festgeschrieben
- Abnahme von #005 wirklich gefahren, nicht behauptet: `docker compose up -d --build` startet den
  Stack, `migrate` läuft und beendet sich, `web` wartet korrekt darauf, `/api/gesundheit` meldet
  `ok` — und `5432` ist vom Host nicht erreichbar, aus `web` schon
- `scripts/pruefe-doku.mjs` gegen vier eingebaute Fehler geprüft: es findet abweichende Zeiten,
  fehlende Einträge, Verweise auf fehlende Dateien und fehlende Bilder

### Entscheidungen

- **Deutsch im Code, auch für Bezeichner.** Der Auftragstext verlangte Englisch; Florian hat sich
  für Einheitlichkeit mit ProxLedger entschieden. Verbindliche Namensabbildung in `CLAUDE.md`.
- **Kein Auth.js.** v5 steht seit Jahren auf Beta (`5.0.0-beta.32`), authjs.dev führt das Projekt
  im Wartungsmodus („now part of Better Auth“), die Maintainer nennen „no immediate plans for v5“,
  und `@auth/prisma-adapter` deklariert Prisma nur bis 6 — wir fahren Prisma 7. Stattdessen
  `openid-client` + `jose` wie in ProxLedger. Dieselbe Überlegung wie dort, nur ein Jahr später
  noch deutlicher.
- **`prisma` exakt auf 7.10.0 gepinnt.** Der `latest`-Tag von `prisma` zeigt auf `8.0.0-rc.17`,
  der von `@prisma/client` auf `7.10.0`. Ein unbedachtes `pnpm add prisma` hätte einen
  Versions-Konflikt erzeugt.
- **`eslint` bleibt auf 9.x.** Mit eslint 10 bricht das Regelwerk beim Laden ab:
  `eslint-config-next` bringt `eslint-plugin-react@7.37.5` mit, das `eslint` nur bis `^9.7`
  unterstützt, und eine neuere Fassung des Plugins gibt es nicht (letzte Veröffentlichung
  April 2025). Empirisch festgestellt, nicht geraten.
- **`typescript` bleibt auf `~6.0.3`.** `typescript-eslint@8.70.1` erlaubt nur
  `>=4.8.4 <6.1.0`; TypeScript 7.0.2 ist zwar `latest`, aber noch nicht unterstützt.
- **`@node-rs/argon2` statt `argon2`.** Liefert vorgebaute musl- und gnu-Binaries, braucht auf
  `node:24-alpine` also keine C++-Toolchain in der Bau-Stufe.
- **`barcode-detector` statt `jsQR`.** `jsqr` ist seit April 2021 unveröffentlicht. Der Polyfill
  bietet dieselbe API wie das native `BarcodeDetector`, also ein Codepfad statt zwei.
- **Seed läuft nicht automatisch.** Die Migrationen schon, der Seed bleibt ein dokumentierter
  Handgriff — so steht es in den Abnahmekriterien.
- **shadcn/ui eingerichtet, aber der Button folgt der Vorgabe, nicht dem Preset.** Der Vertrag
  von shadcn (`--background`, `--primary`, `--border`, …) wird in `globals.css` aus den
  Laufzettel-Token gespeist; jedes später kopierte Bauteil sieht damit sofort richtig aus und
  folgt auch dem hellen Modus. Der Scannen-Knopf nutzt den shadcn-Button, überschreibt aber Form
  und Höhe (Pille, 44 px am Handy statt 32 px).
- **PDF der Anleitung über Playwright.** `pandoc` und `wkhtmltopdf` fehlen und sind ohne root
  nicht installierbar; Chromium ist für die E2E-Tests ohnehin da.

### Probleme

- **Projektverzeichnis gehörte `root`.** `~/Projekte/Laufzettel` war root-eigen, die Sitzung läuft
  als `florianwilde`, und `sudo` verlangt hier ein Passwort. Bis Florian den `chown` gemacht hat,
  wurde das Gerüst im Scratchpad vorgebaut und danach hineinverschoben — die Gitea-Arbeit brauchte
  das Verzeichnis nicht und lief parallel.
- **pnpm 12 hat die Einstellung für Build-Skripte umbenannt.** `onlyBuiltDependencies` wird noch
  von `pnpm config list` angezeigt, aber nicht mehr angewandt; wirksam ist `allowBuilds` als
  Zuordnung in `pnpm-workspace.yaml`. Das `pnpm`-Feld in `package.json` liest pnpm 12 gar nicht
  mehr. Gefunden über `pnpm approve-builds --all`, das die richtige Form selbst schreibt.
- **Context7-MCP ist nicht autorisiert**, der OAuth-Ablauf geht in dieser Sitzung nicht. Alle
  Versionen wurden stattdessen direkt gegen das npm-Registry und die offiziellen Docs geprüft.
- **pnpm 12 prüft die Lieferkette und lehnt taufrische Pakete ab.** `vite@8.3.1` (8,7 h alt) und
  `lucide-react@1.48.0` (15,3 h alt) fielen durch. Beide auf die Vorgängerfassung gesetzt, die
  Richtlinie bleibt an. Bei der Gelegenheit alle direkten Abhängigkeiten auf ihr Alter geprüft.
- **`shadcn init` lässt sich nicht skripten.** Es fragt auch mit `--yes` nach einem Preset und
  bleibt hinter einer Pipe stumm hängen. `shadcn add <bauteil> --yes --overwrite < /dev/null`
  geht dagegen. Zusätzlich nötig: Pfad `"cn": ["./src/lib/utils"]` in `tsconfig.json` und das
  Paket `radix-ui`, beides schreibt `init` nicht.
- **Port 3000 ist von ProxLedger belegt.** Die Abnahme lief auf 3100 und 3200.
- **Kein Gitea-Actions-Runner registriert** (0 Runner). `.gitea/workflows/ci.yml` wird trotzdem
  angelegt und ist nutzbar, sobald ein Runner da ist; verbindlich sind bis dahin der
  Pre-Commit-Hook und die Durchläufe vor jedem Commit.

### Offen

- Der `pct create`-Teil des Proxmox-Skripts (#019) lässt sich hier nicht ausführen, weil kein
  PVE-Host erreichbar ist. Geplant: `shellcheck` plus `--dry-run`, und `deploy/install.sh`
  vollständig in einem `debian:13`-Container geprüft. Der Lauf auf echtem Proxmox braucht eine
  Gegenprüfung durch Florian, dafür kommt eine Prüfliste.
- Der OpenLDAP-Testcontainer wandert von #005 nach #016, wo er tatsächlich benutzt wird — ein
  Dienst, den noch kein Test anfasst, wäre eine Attrappe.

### Nächster Schritt

- #006 Datenmodell: das vollständige Schema in deutscher Benennung, `tagCode`-Generator,
  Krypto-Helfer, erste Migration, idempotenter Seed-Rumpf.

---

## 2026-09-25 · Sitzung 2 · 00:05–01:15

**Issue:** #006 (M1)
**Version:** 0.1.0

### Erledigt

- Vollständiges Schema in deutscher Benennung: 20 Tabellen, 9 Aufzählungen, eine Migration
- `src/lib/tagcode.ts` und `src/lib/geheimnisse.ts` samt Tests, parallel von einem Sub-Agenten
  gebaut, während ich das Schema schrieb (Dauer dort: rund 10 min)
- Idempotenter Seed für Betriebsmodus, eigene Organisation und Administrator — zweimal
  hintereinander gefahren, keine Zeile geändert
- Unabhängiger Review-Agent gegen die Akzeptanzkriterien; alle Blocker und alle neun „sollte
  behoben werden"-Punkte abgearbeitet
- **106 Tests** grün (vorher 11), davon 42 gegen die echten Datenbankregeln

### Entscheidungen

- **Regeln gehören zusätzlich in die Datenbank.** Zwölf CHECK-Bedingungen, zwei partielle
  Eindeutigkeitsindizes und vier zusammengesetzte Fremdschlüssel. Begründung: die Service-Schicht
  ist nicht der einzige Weg, auf dem Daten entstehen — Migrationen, `psql`, Skripte und ab
  Phase 4 die Connectoren schreiben an ihr vorbei.
- **Die Mandantengrenze wird strukturell erzwungen.** `Lauf` verweist mit
  `("geraetId", "kundeId")` auf `Geraet("id", "kundeId")`, analog für Person und Abteilung.
  `docs/architektur.md` nennt die Grenze eine Sicherheitsgrenze — dann soll sie nicht allein an
  `kundeErmitteln()` hängen. `MATCH SIMPLE` lässt einen Lauf ohne Gerät weiter zu.
- **Kein Cascade dort, wo das Archiv hängt.** Ein `DELETE` auf einen Lauf hätte Schrittergebnisse
  und Kommentare stillschweigend mitgenommen, ein Protokolleintrag hätte seinen Urheber verlieren
  können. Beides jetzt `Restrict`.
- **`TagCodeVergabe` als Vergabebuch.** Die Eindeutigkeit allein aus `Geraet.tagCode` zu ziehen
  reicht nicht: verschwindet die Zeile, wäre der Code wieder frei und ein alter Aufkleber im
  Regal zeigte auf ein fremdes Objekt.
- **Widerspruch im Auftrag beim tagCode-Alphabet.** Das wörtliche Alphabet enthält ein `L`,
  die Klammer daneben verbietet es. Aufgelöst zugunsten des wörtlichen Alphabets: die Klammer
  benennt Verwechslungsgruppen, keine Ausschlussliste — aus `{1, I, L}` sind `1` und `I` weg,
  dadurch ist `L` eindeutig. Das Akzeptanzkriterium in #006 ist richtiggestellt worden, statt
  einen grünen Test darüber zu setzen.
- **Ein Systemlauf muss darstellbar sein.** `Lauf.erstelltVonId` ist optional, wie schon
  `Schrittergebnis.aktualisiertVonId`. Wiederkehrende Läufe und der Start per Webhook (Phase 4)
  haben keinen Menschen dahinter.

### Probleme

- **`prisma migrate reset --force` zeigte den Bestätigungsdialog trotzdem** und ließ einen
  Schema-Engine-Prozess zurück, der die Advisory-Sperre hielt; der nächste `migrate dev` lief
  daraufhin in einen Timeout. Verlässlicher: `DROP SCHEMA public CASCADE` per psql, dann
  `migrate dev --create-only < /dev/null`.
- **Port 5433 ist von ProxLedger belegt.** Die Entwicklungsdatenbank liegt jetzt auf 5434,
  umstellbar über `DEV_DB_PORT`.
- **Eine Regex-Ersetzung hat `quelle.length` auch aus der Längenprüfung gerissen** und den
  Krypto-Helfer unübersetzbar gemacht. Die Testsuite hat es sofort gezeigt — ein Argument mehr
  dafür, nach jeder Sammeländerung wirklich alle Schranken laufen zu lassen.

### Nächster Schritt

- #007 Auth, Rollen, Benutzer: `openid-client` mit Discovery, `jose`-Sitzungscookie, lokaler
  Login mit argon2, `RECHTE`-Tabelle, Login-Seite mit Rücksprung auf die ursprüngliche URL.

---

## 2026-09-25 · Sitzung 3 · 01:55–03:35

**Issue:** #007 (M2)
**Version:** 0.1.0

### Erledigt

- OIDC mit `openid-client` 6.8.8: Discovery, PKCE, `state`, `nonce`; API vorher gegen die
  Typdefinitionen im Paket geprüft statt aus dem Gedächtnis geschrieben
- `jose`-Sitzungscookie, lokaler Login mit argon2, Rechtetabelle, JIT-Provisionierung
- Anmeldeseite, geschützter Bereich, Benutzerverwaltung, rollenabhängige Navigation
- Sub-Agent hat `rollen.ts` und `sitzung.ts` samt 85 Tests parallel gebaut (rund 6 min)
- Unabhängiger Review-Agent: ein Blocker, acht weitere Befunde, alle abgearbeitet
- **274 Tests** grün (vorher 106)

### Entscheidungen

- **Rücksprungziel wird aufgelöst, nicht mit Präfixen verglichen.** Die Präfix-Prüfung war eine
  offene Weiterleitung: `/<TAB>/fremd.example` besteht `startsWith("/")`, ist kein `//` und kein
  `/\` — Browser entfernen den Tabulator aber beim Verarbeiten der URL, übrig bleibt
  `//fremd.example`. Das Auflösen gegen eine Wegwerf-Basis macht genau das, was der Browser tut,
  und der Vergleich der Herkunft erschlägt alle Formen auf einmal.
- **Alle Umleitungen über `APP_URL`.** `nextUrl.origin` lieferte im Test `localhost` statt
  `127.0.0.1`; hinter einem Reverse Proxy wäre es der interne Host. Neues Modul
  `src/lib/adressen.ts`, die Herkunft der Anfrage ist nur noch Notnagel.
- **Ohne `OIDC_GROUP_*` bleibt die Rolle, wie sie ist.** Sonst wäre jede OIDC-Anmeldung eine
  stille Herabstufung auf `LESER` — bei einem einzigen Administrator ohne Rückweg.
- **Verknüpfung über die Adresse nur bei `email_verified`.** Sonst wäre ein Anbieter mit frei
  wählbaren Adressen der Weg, den lokalen Notfall-Administrator zu übernehmen.
- **Der letzte aktive Administrator ist geschützt**, gegen Herabstufung wie gegen Abschalten.
- **Kein `overflow-x: hidden` auf `body`.** Es sieht aus wie eine Lösung, verdeckt aber nur: zu
  breiter Inhalt wird abgeschnitten statt erreichbar, und die Prüfung im Screenshot-Skript kann
  ihn nicht mehr finden. Layouts müssen bei 390 px von sich aus passen.
- **`ROLLEN_TEXT` liegt in `src/lib`,** nicht in der Server-Schicht: eine Client-Komponente hätte
  sonst die komplette Rechtetabelle ins Browser-Bündel gezogen.

### Probleme

- **Der Platzhalter-Hash gegen den Zeitkanal war erfunden** und hätte sofort geworfen statt Zeit
  zu kosten. Die Zusage wäre damit schlicht falsch gewesen. Jetzt ein echter, lazy erzeugter
  argon2-Hash; nachgemessen rund 1 ms Unterschied über je 60 Anfragen.
- **Beim Verschieben der Übersicht nach `(app)/` blieb `<Huelle>` in der Seite stehen.** Die Hülle
  wurde doppelt gerendert — zwei Kopfzeilen, das innere Menü ohne Benutzer. Es war im Screenshot
  zu sehen und ist mir trotzdem entgangen; gefunden hat es der Review-Agent. Ein Bild anzusehen
  ersetzt nicht, gezielt nach dem zu suchen, was sich gerade geändert hat.
- **Prisma-Modelltypen kommen aus `@/generated/prisma/client`,** nicht aus `.../models` — dort
  liegen nur die Hilfstypen der Abfragen. Steht jetzt in `CLAUDE.md`.
- **`networkidle` als Wartebedingung in Playwright** läuft bei einer Anwendung mit offenen
  Verbindungen in den Timeout. `load` plus geladene Schriften ist deterministisch.

### Nächster Schritt

- #008 Betriebsmodus und Kunden: `betriebsmodus()`, `kundeErmitteln()`, Moduswechsel in beiden
  Richtungen, Kundenverwaltung, Admin-Einstellungen.

---

## 2026-09-25 · Sitzung 4 · 05:35–07:00

**Issue:** #008 (M3)
**Version:** 0.1.0

### Erledigt

- `src/server/mandant.ts` als die eine Stelle für die Mandantenregel
- Moduswechsel in beiden Richtungen, Kundenverwaltung (Sub-Agent, 25 Tests), Admin-Einstellungen
- Wechsel per Playwright **durch die Oberfläche** gefahren, nicht nur im Service: Navigation
  wechselt sofort, `/kunden` wird erreichbar
- Unabhängiger Review: drei Blocker, sechs weitere Befunde, alle abgearbeitet
- **336 Tests** grün (vorher 274)

### Entscheidungen

- **Die Sichtbarkeit gehört in `kundeErmitteln`,** nicht in eine zweite Funktion daneben. Sonst
  müsste jeder künftige Service daran denken — und #009 ff. übernehmen diese Signatur.
- **Lesemodelle filtern selbst.** Sie verlangen den Benutzer, statt sich auf den Aufrufer zu
  verlassen. `undefined` heißt „keine Einschränkung“, `[]` heißt „sieht nichts“; die Umsetzung
  steht an einer Stelle, und beide Fälle haben einen Test.
- **`pg_advisory_xact_lock` statt Serializable.** Der Wechsel ist selten und kurz; ein Schloss auf
  Transaktionsebene ist verständlicher als eine Isolationsstufe, die man beim Lesen übersieht, und
  wird auch bei einem Abbruch freigegeben.
- **Die Prüfung läuft zweimal** — einmal für den Dialog, einmal innerhalb der Transaktion. Beide
  Male derselbe Code, damit es keine nachgebaute zweite Wahrheit gibt.
- **ASCII-Faltung gilt für Bezeichner, nicht für Fließtext.** Steht jetzt ausdrücklich in
  `CLAUDE.md`; Protokoll-Aktionen sind entsprechend nachgezogen.

### Probleme

- **Ich habe in einem Kommentar etwas behauptet, das nicht stimmte** („Alles in einer
  Transaktion"), während der Protokolleintrag dahinter stand. Ein Kommentar, der eine Zusage
  macht, gehört genauso geprüft wie der Code darunter.
- **`sichtbareKundenIds` hatte keinen einzigen Aufrufer.** Eine Funktion zu schreiben, die eine
  Regel durchsetzt, und sie dann nirgends zu rufen, sieht im Review aus wie Absicht und ist es
  nicht. Der Volltextlauf über `src` hätte das in zehn Sekunden gezeigt.
- **Der Wettlauf war reproduzierbar**, nicht theoretisch: zwei gleichzeitige Wechsel liefen beide
  durch.

### Nächster Schritt

- #009 Vorlagen-Versionierung: Veröffentlichen, tiefe Kopie als Entwurf, höchstens ein Entwurf,
  Unveränderlichkeit, JSON-Export und -Import.

---

## 2026-09-25 · Sitzung 5 · 07:00–08:20

**Issue:** #009 (M4)
**Version:** 0.1.0

### Erledigt

- `src/server/services/vorlagen.ts`: Anlegen, Kopfdaten bearbeiten, Entwurf holen (tiefe Kopie),
  Speichern, Veröffentlichen, Verwerfen, Duplizieren, Archivieren
- `src/server/services/vorlagen-austausch.ts` mit `docs/vorlagen-format.md`: ein Zod-Schema für
  Editor, Export und Import — eine Vorlage zieht als Datei zwischen zwei Installationen um
- `src/lib/validierung.ts` als einzige Quelle für Zod samt deutscher Meldungen, mit ESLint-Regel
- Migration `vorlagen_unveraenderlich`: vier Trigger, die die Unveränderlichkeit in der Datenbank
  durchsetzen — nicht nur im Service
- Unabhängiger Review: drei Blocker (alle an der Mandantengrenze), acht weitere Befunde, alle
  abgearbeitet
- **428 Tests** grün (vorher 336), davon neu: Mandantensicht, Datenbankregeln, Gleichzeitigkeit,
  Austausch mit unsauberen Daten

### Entscheidungen

- **Die Regel steht zweimal: im Service und in der Datenbank.** Der Service gibt die verständliche
  Meldung, die Datenbank die Garantie. Alles, was nicht durch den Service geht — Migrationen,
  `psql`, der Seed, ab Phase 4 die Connectoren —, läuft sonst an der einen Regel vorbei, die das
  Archiv überhaupt erst etwas wert macht. Die doppelte Haltung kostet einen Trigger und spart die
  Annahme, dass jeder künftige Schreibweg daran denkt.
- **Ein Entwurf je Vorlage kommt vom partiellen Index**, nicht von einer Prüfung davor. Zwei
  gleichzeitige Klicks auf „Bearbeiten“ laufen damit unvermeidlich in `P2002` — und genau dort
  wiederholt der Service und gibt beiden denselben Entwurf zurück, statt einen Fehler zu zeigen,
  den niemand versteht.
- **Optimistisches Sperren über `geaendertAm`,** nicht über eine Zählerspalte. Der Zeitstempel ist
  ohnehin da, und `updateMany` mit Bedingung erledigt den Vergleich in derselben Anweisung.
- **Unbekannte `konfig`-Schlüssel überleben, unbekannte Werte bekannter Schlüssel nicht.** Ein
  neues Feld aus einer späteren Fassung darf einen Umzug nicht verhindern; eine unbekannte `shell`
  aber entscheidet darüber, wie ein Wert maskiert wird — sie stillschweigend zu verwerfen hieße,
  einen bash-Befehl nach PowerShell-Regeln zu maskieren, und das kann auf einem Server Daten
  kosten. Also laut abweisen, mit Pfad und erlaubten Werten.
- **Der Export ist nachsichtig, der Import streng.** Herausgeben muss man auch, was nicht ins
  Schema passt, sonst verliert die Datei Inhalt. Annehmen darf man es nicht.
- **`tests/datenbankregeln.test.ts` als Wächter.** Prisma erzeugt für jede künftige Migration
  Löschbefehle gegen die handgeschriebenen Objekte. Der Test zählt sie namentlich auf, damit ein
  übersehener `DROP` die Suite rot macht statt still die Mandantengrenze zu entfernen.

### Probleme

- **Die drei Blocker lagen alle an derselben Stelle: den Lesemodellen.** Der Suchfilter brachte
  einen zweiten `OR`-Schlüssel mit und überschrieb die Kundenbedingung — ein Buchstabe im Suchfeld
  genügte, um einem gebundenen Techniker alle Vorlagen aller Kunden zu zeigen. Historie und Aufbau
  einer Version filterten gar nicht. Zu `queries/vorlagen.ts` gab es keinen Test; die Sicht in #008
  abzusichern und in #009 nur den Service zu testen war der Fehler.
- **`Prisma.validator`-Objekte mit zwei gleichen Schlüsseln sind kein Typfehler.** Ein
  zusammengebautes `where` mit `OR` aus zwei Quellen fällt weder ESLint noch `tsc` auf. Deshalb
  liegt die Mandantenbedingung jetzt in `AND`, wo ein zweiter Filter sie nicht erreichen kann.
- **Prisma wollte sieben handgeschriebene Objekte löschen.** Die Migration musste von Hand
  geschrieben werden; zusätzlich fehlten `@default(now())` bei den `@updatedAt`-Feldern, weshalb
  Prisma bei jedem Lauf `DROP DEFAULT` vorschlug.
- **Zwei gleichzeitige Testläufe gegen `laufzettel_test`** ergaben 62 falsche Fehlschläge. Der
  Review-Agent und ich haben uns die Daten weggetruncated; im Auftrag an den Agenten hatte ich die
  eigene Datenbank nicht verlangt.

### Nächster Schritt

- #010 Vorlagen-Editor: Liste mit Suche und Filtern, Abschnitte und Schritte per Drag & Drop,
  Vorschau, Veröffentlichen, Versionshistorie, Warnung bei unbekannten Platzhaltern.

---

## 2026-09-25 · Sitzung 6 · 08:20–10:30

**Issue:** #010 (M5)
**Version:** 0.1.0

### Erledigt

- Vorlagenliste mit Suche und Filtern, Vorlagenseite mit Versionsgeschichte, Kopfdaten, Duplizieren,
  Archivieren, JSON-Ex- und -Import
- Vorlagen-Editor (Sub-Agent): Abschnitte, Schritte, Variablen — anlegen, bearbeiten, löschen,
  sortieren mit Finger, Maus, Tastatur und Knöpfen; typabhängige Felder, Markdown-Hilfetexte,
  Platzhalter-Warnung, Vorschau mit Beispielwerten
- `src/lib/platzhalter.ts` als einzige Quelle der eingebauten Platzhalter — #012 baut darauf auf
- Erste Playwright-Tests: der Editor wird durch die Oberfläche gefahren, einschließlich Sortieren
  mit dem Finger bei 390 px
- Unabhängiger Review: zwei Blocker, sechs weitere Befunde, alle abgearbeitet
- **496 Tests** grün (vorher 428), dazu 5 E2E-Tests

### Entscheidungen

- **Oberflächen werden gegen den gebauten Stand abgenommen, nie gegen `pnpm dev`.** Der
  Entwicklungsmodus hydriert in dieser Umgebung nicht; ein Screenshot sieht deshalb richtig aus,
  während kein Knopf etwas tut. Das ändert die Arbeitsweise für alle folgenden Meilensteine und
  steht in `CLAUDE.md` und `docs/architektur.md`.
- **Was nur mit angehängtem React gelingt, gehört in einen Playwright-Test.** Nicht erst in #018:
  ohne ihn wäre „Sortieren funktioniert am Handy“ eine Behauptung geblieben.
- **Die Nummer eines Abschnitts kommt aus der Position und wird nie gespeichert.** Die
  Formatdokumentation sagte bisher das Gegenteil; beim ersten Umsortieren wäre eine gespeicherte
  Nummer falsch gewesen. Entfernt wird eine vorangestellte Nummer nur beim Trenner `·` und nur,
  wenn dahinter keine Ziffer steht — „24 · 7 Bereitschaft“ bleibt.
- **Ein Knopf, der auf eine fehlende Seite zeigt, wird nicht verlinkt.** Galt für die Navigation
  schon, jetzt auch für „Scannen“.
- **`format:pruefen` ist ein Tor.** Sonst formatiert `lint-staged` beim Commit nach, und im Commit
  stehen Änderungen, die niemand gesehen hat.

### Probleme

- **Mein eigener Prüfaufbau hat mich getäuscht.** Ich habe Seiten im Browser angesehen, für gut
  befunden und weitergemacht — in einem Entwicklungsmodus, in dem nichts anklickbar war. Aufgefallen
  ist es erst, als ich zum ersten Mal wirklich geklickt habe. Zwei Stunden Suche nach der Ursache,
  am Ende lag es am Werkzeug und nicht am Code; die Erkenntnis war die Zeit wert.
- **Ein Kommentar hat wieder eine Zusage gemacht, die kein Test hielt** („ein Test hält das fest“,
  über der CSP). Dritter Meilenstein in Folge, in dem der Review genau diese Sorte Fehler findet.
  Ein Kommentar, der eine Garantie behauptet, braucht den Test daneben — oder den Satz nicht.
- **Der Sub-Agent hat im Browser Dinge geprüft, die dort gar nicht prüfbar waren.** Mein Auftrag
  hat ihn dorthin geschickt; die Lücke war meine.
- **Der Editor war bei einer einzigen Vorlage 16 986 px hoch.** Ich habe es im Screenshot gesehen,
  nicht der Review.

### Nächster Schritt

- #011 Mitarbeiter, Abteilungen und Geräte: Listen mit Suche, Mitarbeiterseite mit Historie,
  Abteilungen mit Ziel-OU und Standardgruppen, Geräte mit CSV-Import.

---

## 2026-09-25 · Sitzung 7 · 10:30–12:55

**Issue:** #011 (M6)
**Version:** 0.1.0

### Erledigt

- Mitarbeiter: Dienst mit Sperre für abgeglichene Stammdaten, Liste mit Suche über vier Kennungen,
  Personenseite mit Geräten, Vorgesetztem und Platz für die Laufhistorie
- Abteilungen unter Admin: Ziel-OU, Standardgruppen, Mail-Domain, dazu die Liste der
  Abteilungsnamen, die bei Personen vorkommen, aber nicht gepflegt sind
- Geräte samt CSV-Import (Sub-Agent): eigener Zerleger in `src/lib/csv.ts`, Tag-Code-Vergabe in
  einer Transaktion, Archivieren statt Löschen
- Neues Recht `mitarbeiterBearbeiten`; die Seitenleiste führt Personen und Geräte unter einem
  Eintrag, im Modus Dienstleistung anders beschriftet
- Unabhängiger Review: zwei Blocker, sieben weitere Befunde, alle abgearbeitet
- **610 Tests** grün (vorher 601 vor dem Review), dazu 18 E2E-Abläufe

### Entscheidungen

- **Ein CSV-Wert reicht nicht über die Zeile hinaus.** Das Format erlaubt es, und `csvErzeugen`
  schreibt es auch so — beim **Lesen** einer fremden Datei ist es trotzdem die schlechtere Annahme:
  ein Umbruch in einem Hostnamen kommt nicht vor, ein vergessenes schließendes Anführungszeichen
  ständig. Mit der Grenze endet der Schaden an der Zeile, in der er beginnt; ohne sie verschluckt
  eine kaputte Zelle alle Folgezeilen, und der Import meldet dafür Erfolg.
- **Eine abgeglichene Person ist vollständig gesperrt**, nicht nur teilweise. Alle Stammdaten
  kommen aus dem Verzeichnis, auch der Titel. Übrig bleibt genau ein Weg: aktivieren und
  deaktivieren — und der muss bleiben, weil das Offboarding nicht auf den nächsten Abgleich wartet.
- **Löschen eines Geräts verlangt `verwaltung`.** Archivieren ist der Normalfall. Löschen ist nicht
  rücknehmbar und verbrennt den Tag-Code für immer — der gedruckte Aufkleber ist danach wertlos.
- **Die Lesemodelle liefern den Kundennamen immer, die Seite entscheidet über die Anzeige.**
  Vorher entschied das eine Lesemodell nach `istEigeneOrganisation` und das andere gar nicht.
- **Die Mitarbeitersuche ist ein eigenes Bauteil**, bevor sie zum zweiten Mal gebraucht wird: #013
  und #014 brauchen sie wieder, und dreimal abgeschrieben vergisst man den Umschalter „auch
  deaktivierte“ zweimal.

### Probleme

- **Der schwerste Fehler war wieder einer, der Erfolg meldet.** Der CSV-Import hat Zeilen
  verschluckt und „3 von 3 angelegt“ gesagt. Gefunden hat ihn der Review mit einer Datei, wie sie
  aus einem halb ausgefüllten Excel kommt — meine eigenen Tests prüften nur saubere Dateien und die
  eine Ausnahme, die ohnehin geworfen wurde.
- **Zwei Funktionen im selben Modul widersprachen sich**: `abteilungsListe` schlüsselte nach Kunde
  und Name, `ungepflegteAbteilungen` nach Namen allein. Nebeneinander geschrieben, nicht
  nebeneinander gelesen.
- **Vierter Meilenstein in Folge mit einem Kommentar, der eine Zusage macht, die der Code nicht
  hält.** Diesmal versprach er zwei verschiedene Meldungen, gerendert wurde eine.

### Nächster Schritt

- #012 Platzhalter, Namensregeln und Escaping: die reine Service-Schicht, aus der die fertigen
  PowerShell-Befehle entstehen — mit dichter Testabdeckung, denn hier darf nichts schiefgehen.

---

## 2026-09-25 · Sitzung 8 · 12:55–15:35

**Issue:** #012 (M7)
**Version:** 0.1.0

### Erledigt

- `src/lib/shell.ts` (Sub-Agent): Maskierung je Shell, Skript-Kopie mit Kommentarzeilen
- `src/lib/namensregeln.ts` (Sub-Agent): Transliteration, `{v}`, `{nnn}`, `{kundenkuerzel}`,
  Grenzen für `sam` und `hostname`
- `src/lib/passwort.ts`, `src/lib/platzhalter-werte.ts`, `src/server/services/platzhalter.ts` und
  `src/server/services/befehle.ts`: das generierte Passwort, das Ersetzen und die fertigen Befehle
- Unabhängiger Review: **drei Blocker**, sieben weitere Befunde, alle abgearbeitet
- **810 Tests** grün (vorher 797 mit einem stillen Übersprung)

### Entscheidungen

- **PowerShell wird wirklich gegen PowerShell geprüft.** Auf dieser Maschine gibt es kein `pwsh`,
  also nimmt der Test das Container-Abbild — und in CI bricht er ab, statt sich zu überspringen.
  Der schwerste Befund des Meilensteins wäre ohne das nie aufgefallen.
- **Typografische Anführungszeichen werden auf ihre ASCII-Form gebracht und dann maskiert.** Als
  Text durchreichen lassen sie sich nicht: PowerShell liest sie ohnehin als Begrenzer. Lieber ein
  Zeichen, das anders aussieht als gedacht, als ein Befehl, der etwas anderes tut als er liest.
- **Ein Platzhalter außerhalb von Anführungszeichen wird abgewiesen**, nicht gefüllt. Die
  Maskierung kann daraus kein Argument machen, und ein halb maskierter Befehl zum Kopieren wäre die
  gefährlichste aller Antworten.
- **Gesperrt sind fünf Variablennamen, nicht alle eingebauten.** `techniker`, `datum`, `kunde`,
  `kundenkuerzel` und `generiertes_passwort` machen eine Aussage über wer, wann und für wen. `upn`,
  `sam` und `mail` bleiben frei — beim Onboarding gibt es die Person im Verzeichnis noch nicht.
- **Ein `sam` hält drei Stellen frei.** Ein einmal notierter Anmeldename muss auch morgen aus der
  Regel herausfallen, wenn ein zweiter Träger desselben Namens dazukommt.

### Probleme

- **Ich bin in genau die Falle getappt, die ich in #010 repariert habe:** `$'` als Rückverweis in
  `String.replaceAll`. Gefunden hat es mein eigener Test gegen echtes Bash — Lesen hätte es nicht
  gefunden.
- **Meine erste HTML-Maskierung war doppelt**, weil ich vergessen hatte, dass React Textknoten
  selbst maskiert. Aufgefallen beim Nachdenken über den Test, nicht beim Schreiben des Codes.
- **Der Review hat sich PowerShell in einem Container geholt.** Das ist der Unterschied zwischen
  „nach bestem Wissen richtig“ und „gemessen“ — und der Unterschied war hier eine
  Codeausführung auf dem Domänencontroller.
- **Vierter Meilenstein in Folge mit einem Kommentar, der ins Leere zeigt:** ein Testkommentar
  verwies auf einen Beweis in einer anderen Datei, den es dort nicht gab.

### Nächster Schritt

- #013 Läufe: Service und Abarbeitung — Lauf anlegen, abarbeiten, abschließen, archivieren, mit
  der Abarbeitungsansicht am Handy.

---

## 2026-09-25 · Sitzung 9 · 15:40–18:45

**Issue:** #013 (M8)
**Version:** 0.1.0

### Erledigt

- `src/server/services/{laeufe,schrittergebnisse,kommentare}.ts` (Sub-Agent): anlegen, öffnen,
  abschließen, archivieren, zurückholen, Schrittergebnisse, Abschnitts-Aktion, Kommentare
- `src/server/queries/laeufe.ts`, die Abarbeitungsansicht, der Start-Dialog, die Laufliste und der
  Zustands-Endpunkt für die Aktualisierung alle zehn Sekunden
- Namensvorschläge aus den Regeln im Start-Dialog und „Mit AD-Konto verknüpfen“ am Lauf
- Unabhängiger Review: **zwei Blocker**, zwölf Befunde, acht Anmerkungen — alle abgearbeitet
- **879 Tests** (vorher 810) und **37 Ende-zu-Ende-Tests** grün

### Entscheidungen

- **Ein Lauf, ein Passwort je Seitenaufbau.** Vorher entstand je *Vorkommen* ein neues: ein
  `New-ADUser` mit `-AccountPassword` und einer Zeile, die das Passwort mitteilt, trug zwei
  verschiedene. Das Konto bekäme A, der Benutzer erführe B, und weil nichts gespeichert wird, wäre
  A für immer weg. „Bei jeder Anzeige neu“ heißt jetzt: je Aufbau der Seite neu, innerhalb der
  Seite überall dasselbe.
- **Abgeschlossen ist nicht archiviert.** „Abgeschlossen“ ist ein Arbeitszustand; Nachträge
  passieren danach, und zwar oft. Würde schon der Abschluss sperren, bräuchte jede Kleinigkeit
  einen Administrator — und Läufe würden schlicht nicht mehr abgeschlossen.
- **Das Polling trägt keine Befehle, und es lädt auch nicht von selbst neu**, solange ein Passwort
  auf der Seite steht. Die erste Hälfte der Zusage war leicht, die zweite fiel erst beim
  Nachdenken über `router.refresh()` auf: ein Neuaufbau tauscht das Passwort genauso aus.
- **`/api/` bekommt ohne Anmeldung 401, keine Weiterleitung.** Ein `fetch` folgt einer
  Weiterleitung von sich aus und hält die Anmeldeseite für eine gültige Antwort; die
  Aktualisierung hätte stundenlang weitergefragt.
- **Abschnitte klappen zu, wenn sie fertig sind — der Zustand liegt im Browser.** Aus den Daten
  gerechnet klappte ein von Hand geöffneter Abschnitt beim nächsten Speichern wieder zu.

### Probleme

- **React baut das Formular erst nach dem erneuten Rendern zusammen.** Mein erster Versuch, den
  Zustand am abschickenden Knopf mitzugeben, setzte im selben Klick die Vorauswahl um — und damit
  den Wert des Knopfes. Angekommen ist wahlweise „offen“ oder gar kein Feld. Gefunden nicht durch
  Lesen, sondern durch Nachstellen im gebauten Stand mit einer Ausgabe der `FormData`.
- **Der Review hat einen Blocker gefunden, den mein eigener Test festgeschrieben hatte:** „zwei
  Vorkommen ergeben zwei Passwörter“ stand als Erwartung samt Begründung im Test. Die Begründung
  war falsch, der Test hat sie zementiert.
- **Ein `h2` in einem `button` ist keine Überschrift mehr.** In einem Knopf sind alle Nachfahren
  nur noch Beschriftung; der Abschnittskopf verlor damit seine Gliederung — aufgefallen, weil ein
  Playwright-Test die Überschrift nicht mehr fand.
- **Ein `details` und React geraten vor der Hydrierung aneinander:** der Browser klappt auf, React
  klappt gleich darauf zu. Jetzt ein Knopf mit `aria-expanded`, der vor der Hydrierung schlicht
  nichts tut — wie jeder andere Knopf auf dieser Seite.
- **Fünfter Meilenstein in Folge mit Kommentaren, die mehr versprechen als der Code hält:** der
  Titelvorschlag behauptete, der Start-Dialog zeige ihn; `startAuswahl` behauptete, der Dialog
  nenne seine Grenze von 500 Einträgen. Beides stimmte nicht.

### Nächster Schritt

- #014 QR-Tags, Geräteseite, Etiketten und Scanner — der Einstieg, für den die ganze Anwendung
  gebaut ist: Code scannen, Geräteseite öffnen, loslegen.