v1.5: Alle Manager-Komponenten auf eigene API-Routen umgestellt

Neue interne Route Handler unter app/api/ (dishes inkl. Bulk-Delete,
sections, allergens, additives, menu-entries, dish-suggestions,
settings, admin/branding) ersetzen den direkten Browser→Postgrest-
Zugriff der bisherigen Supabase-Anbindung. Jede Route prüft Autorisierung
selbst (lib/auth/session.ts requireRole) statt sich auf Postgres-RLS zu
verlassen – ersetzt 1:1 die bisherigen Policies (öffentlich lesbar /
staff+admin schreiben / nur admin für Einstellungen & Benutzer).

Rezeptvorschlag-Dublettencheck (SuggestionForm) läuft jetzt zwingend
serverseitig im POST-Handler, da es keinen Browser→Postgres-Pfad mehr
gibt. "Passkey annehmen" (SuggestionReview) läuft transaktional
(Gericht anlegen + Vorschlag löschen in einem Schritt).

Logo/Favicon: neuer lokaler Dateispeicher (lib/branding.ts, Docker-
Volume) statt Supabase-Storage-Bucket, ausgeliefert über
app/branding/[filename]. logoUrl()/faviconUrl() liefern jetzt einfache
relative Pfade statt einer fest verdrahteten Supabase-Storage-URL.

DeepL-Route (api/translate) und Benutzerverwaltung (api/admin/users)
laufen jetzt gegen die users-Tabelle statt Supabase Auth.

Alle "use client"-Manager-Komponenten (DishManager, WeekEditor,
SectionManager, CodeListManager, SuggestionForm/Review, UserManager,
DesignEditor) rufen ihre jeweiligen /api/-Routen per fetch() statt den
Supabase-Browser-Client zu nutzen.

components/SectionManager.tsx

@@ -3,8 +3,7 @@
 // Verwaltung der Essenszeiten (Brotzeit, Mittagessen, …):
 // anlegen, umbenennen, Uhrzeit ändern, löschen, Reihenfolge anpassen.
 
-import { useCallback, useEffect, useMemo, useState } from "react";
-import { createClient } from "@/lib/supabase/client";
+import { useCallback, useEffect, useState } from "react";
 import { formatMessage } from "@/lib/i18n/shared";
 import { localized } from "@/lib/types";
 import type { Section } from "@/lib/types";
@@ -34,7 +33,6 @@ function splitTimeRange(range: string): { from: string; to: string } {
 }
 
 export default function SectionManager() {
-  const supabase = useMemo(() => createClient(), []);
   const dict = useDict();
   const locale = useLocale();
   const [sections, setSections] = useState<Section[]>([]);
@@ -44,12 +42,12 @@ export default function SectionManager() {
   const [busy, setBusy] = useState(false);
 
   const load = useCallback(async () => {
-    const { data, error } = await supabase.from("sections").select("*").order("sort");
-    if (error)
-      setError(formatMessage(dict.sectionManager.loadError, { message: error.message }));
-    else setSections(data as Section[]);
+    const res = await fetch("/api/sections");
+    if (!res.ok)
+      setError(formatMessage(dict.sectionManager.loadError, { message: String(res.status) }));
+    else setSections(await res.json());
     setLoading(false);
-  }, [supabase, dict]);
+  }, [dict]);
 
   useEffect(() => {
     load();
@@ -68,27 +66,19 @@ export default function SectionManager() {
       time_range: `${form.timeFrom} - ${form.timeTo}`,
     };
 
-    let dbError;
-    if (form.key) {
-      ({ error: dbError } = await supabase
-        .from("sections")
-        .update(payload)
-        .eq("key", form.key));
-    } else {
-      // Frisch aus der DB lesen statt den lokalen State zu nutzen, damit
-      // ein veralteter Snapshot nicht zu doppelten sort-Werten führt.
-      const { data: maxRow } = await supabase
-        .from("sections")
-        .select("sort")
-        .order("sort", { ascending: false })
-        .limit(1)
-        .maybeSingle();
-      ({ error: dbError } = await supabase
-        .from("sections")
-        .insert({ ...payload, sort: (maxRow?.sort ?? 0) + 1 }));
-    }
-    if (dbError) {
-      setError(formatMessage(dict.sectionManager.saveError, { message: dbError.message }));
+    const res = form.key
+      ? await fetch(`/api/sections/${form.key}`, {
+          method: "PATCH",
+          headers: { "Content-Type": "application/json" },
+          body: JSON.stringify(payload),
+        })
+      : await fetch("/api/sections", {
+          method: "POST",
+          headers: { "Content-Type": "application/json" },
+          body: JSON.stringify(payload),
+        });
+    if (!res.ok) {
+      setError(formatMessage(dict.sectionManager.saveError, { message: String(res.status) }));
       return;
     }
     setForm(null);
@@ -102,9 +92,9 @@ export default function SectionManager() {
       )
     )
       return;
-    const { error } = await supabase.from("sections").delete().eq("key", section.key);
-    if (error)
-      setError(formatMessage(dict.sectionManager.deleteError, { message: error.message }));
+    const res = await fetch(`/api/sections/${section.key}`, { method: "DELETE" });
+    if (!res.ok)
+      setError(formatMessage(dict.sectionManager.deleteError, { message: String(res.status) }));
     await load();
   }
 
@@ -115,12 +105,19 @@ export default function SectionManager() {
     setBusy(true);
     setError(null);
     const [r1, r2] = await Promise.all([
-      supabase.from("sections").update({ sort: neighbor.sort }).eq("key", section.key),
-      supabase.from("sections").update({ sort: section.sort }).eq("key", neighbor.key),
+      fetch(`/api/sections/${section.key}`, {
+        method: "PATCH",
+        headers: { "Content-Type": "application/json" },
+        body: JSON.stringify({ sort: neighbor.sort }),
+      }),
+      fetch(`/api/sections/${neighbor.key}`, {
+        method: "PATCH",
+        headers: { "Content-Type": "application/json" },
+        body: JSON.stringify({ sort: section.sort }),
+      }),
     ]);
-    const dbError = r1.error ?? r2.error;
-    if (dbError)
-      setError(formatMessage(dict.sectionManager.saveError, { message: dbError.message }));
+    if (!r1.ok || !r2.ok)
+      setError(formatMessage(dict.sectionManager.saveError, { message: "move failed" }));
     setBusy(false);
     await load();
   }