Merge feature/v1.9: SSO-Login per OpenID Connect (Authentik u.a.)

feat: SSO-Login per OpenID Connect (Authentik u.a.)
Dritte Login-Methode neben Passwort und Passkey, konfiguriert über OIDC_ISSUER/OIDC_CLIENT_ID/OIDC_CLIENT_SECRET (optional, Button bleibt ohne diese Vars ausgeblendet). Authorization-Code-Flow mit PKCE, ID-Token-Signaturprüfung gegen das JWKS des Providers via neuer Abhängigkeit "jose" (RS256 fest gepinnt gegen Algorithm-Confusion), State/Nonce kurzlebig und einmalig verwendbar in neuer Tabelle oidc_states (Migration 0003, analog zu webauthn_challenges). Funktioniert ausschließlich für bereits angelegte Benutzer (Abgleich per E-Mail) – kein Auto-Provisioning, keine Rollenübernahme aus Claims, beides bleibt exklusiv über die bestehende Benutzerverwaltung steuerbar. app/login/page.tsx zu Server-Component-Wrapper reduziert (prüft isConfigured(), liest ?error= aus searchParams), bisheriger Inhalt nach components/LoginForm.tsx verschoben. Version 1.9.0. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
2026-07-20 00:34:11 +02:00 · 2026-07-20 00:29:57 +02:00 · 2026-07-20 00:08:18 +02:00 · 2026-07-20 00:05:56 +02:00 · 2026-07-19 23:58:45 +02:00 · 2026-07-19 23:57:43 +02:00
41 changed files with 2244 additions and 224 deletions
@@ -1,7 +1,32 @@
 # Vorlage für .env.local (Entwicklung) bzw. die Umgebungsvariablen
 # beim Hoster (Live-Betrieb). Echte Werte niemals committen!
-# Verbindung zur (selbst gehosteten) PostgreSQL-Datenbank.
+# Nur für Docker Compose relevant: Passwort für den mitgelieferten
 # PostgreSQL-Container (Dienst "db" in docker-compose.yml). Daraus baut
 # docker-compose.yml die DATABASE_URL für die App-Container selbst
 # zusammen – die Zeile unten wird beim Betrieb per Docker Compose
 # NICHT verwendet, nur bei manuellem "npm run dev"/"npm run start"
 # gegen eine selbst betriebene PostgreSQL-Instanz.
 #
 # Nur Buchstaben/Zahlen verwenden (z. B. mit "openssl rand -hex 24"
 # erzeugen) – Zeichen wie #, $, Leerzeichen oder Anführungszeichen
 # werden von Docker Compose beim Einlesen von .env-Dateien speziell
 # behandelt (# beginnt z. B. einen Kommentar) und können das Passwort
 # unbemerkt verstümmeln.
 #
 # WICHTIG: PostgreSQL setzt dieses Passwort nur EINMALIG beim allerersten
 # Start auf einem leeren Datenverzeichnis. Wird der Wert hier später
 # geändert (oder "docker compose up" auch nur einmal ohne
 # "--env-file .env.local" ausgeführt, bevor er gesetzt war), bleibt im
 # bereits angelegten Docker-Volume das alte Passwort stehen – die App
 # bekommt dann "password authentication failed for user postgres". Fix:
 # "docker compose down && docker volume rm canteen-menu_pgdata", dann
 # neu starten (nur unbedenklich, solange noch keine echten Daten drin
 # sind – siehe DEPLOYMENT.md).
 LOCAL_PG_PASSWORD=<beliebiges-sicheres-passwort>
 # Verbindung zur PostgreSQL-Datenbank (nur für den Betrieb OHNE Docker
 # Compose relevant, s. o.).
 DATABASE_URL=postgres://postgres:<passwort>@localhost:5432/canteen_menu
 # Öffentliche URL, unter der die App erreichbar ist (Schema + Domain).
@@ -23,3 +48,15 @@ ADMIN_EMAIL=
 # Free-Keys enden auf ":fx"). Ohne Key bleibt "Automatisch übersetzen"
 # inaktiv; Englisch/Polnisch lassen sich weiterhin manuell eintragen.
 DEEPL_API_KEY=
 # Optional: SSO-Login per OpenID Connect (z. B. gegen ein selbst
 # gehostetes Authentik). Ohne diese drei Werte bleibt der SSO-Button auf
 # der Anmeldeseite ausgeblendet, Passwort/Passkey funktionieren
 # unverändert. SSO-Login funktioniert NUR für bereits unter "Benutzer"
 # angelegte E-Mail-Adressen – es werden keine neuen Konten angelegt und
 # die Rolle (Admin/Kantinenmitarbeiter) bleibt ausschließlich dort
 # steuerbar. Beim Identity Provider als Redirect-URI eintragen:
 # <APP_URL>/api/auth/oidc/callback
 OIDC_ISSUER=
 OIDC_CLIENT_ID=
 OIDC_CLIENT_SECRET=
@@ -4,6 +4,156 @@ Alle nennenswerten Änderungen an diesem Projekt werden hier dokumentiert.
 Format angelehnt an [Keep a Changelog](https://keepachangelog.com/de/1.1.0/),
 Versionierung nach [Semantic Versioning](https://semver.org/lang/de/).
 ## [1.9.0] – 2026-07-20
 ### Hinzugefügt
 - SSO-Login per OpenID Connect (z. B. gegen ein selbst gehostetes
  Authentik), zusätzlich zu Passwort und Passkey. Konfiguration über
  drei optionale Env-Vars (`OIDC_ISSUER`, `OIDC_CLIENT_ID`,
  `OIDC_CLIENT_SECRET`) – ohne sie bleibt der SSO-Button auf der
  Anmeldeseite ausgeblendet. Authorization-Code-Flow mit PKCE, ID-Token-
  Signaturprüfung gegen das JWKS des Providers (neue Abhängigkeit
  `jose`), State/Nonce serverseitig kurzlebig und einmalig verwendbar
  (neue Tabelle `oidc_states`, Migration `0003_oidc_state.sql`).
  SSO-Login funktioniert ausschließlich für bereits unter „Benutzer“
  angelegte E-Mail-Adressen – es werden nie neue Konten angelegt, und
  die Rolle (Admin/Kantinenmitarbeiter) bleibt ausschließlich über die
  bestehende Benutzerverwaltung steuerbar, nie aus SSO-Claims
  übernommen. In DEPLOYMENT.md unter „SSO/OpenID Connect“ dokumentiert.
 ## [1.8.1] – 2026-07-20
 ### Hinzugefügt
 - `update.sh`: Update-Skript für Linux-Deployments – stoppt den Docker-
  Stack, sichert lokale Änderungen an `docker-compose.yml` per
  `git stash` (falls vorhanden), führt `git pull` aus, spielt die
  Änderungen zurück und startet den Stack neu im Build-Modus. Bricht
  bei einem `git pull`- oder Stash-Konflikt kontrolliert ab, statt mit
  einem halb aktualisierten Stand weiterzumachen. In DEPLOYMENT.md unter
  „Updates einspielen“ dokumentiert.
 ## [1.8.0] – 2026-07-19
 ### Hinzugefügt
 - Umschaltbarer Hinweismodus für Allergene/Zusatzstoffe: Auf der Seite
  „Allergene & Zusatzstoffe“ kann zwischen der bisherigen detaillierten
  Auswahl je Gericht und einem einfachen, in Deutsch/Englisch/Polnisch
  editierbaren Hinweistext (z. B. „Bei Fragen zu Allergenen und
  Zusatzstoffen wenden Sie sich bitte an das Kantinen-Team.“)
  umgeschaltet werden. Im Hinweismodus entfällt auf der öffentlichen
  Speisekarte die Legende und die Kürzel an den Gerichten, und in der
  Gerichte-Verwaltung wird die Allergen-/Zusatzstoff-Auswahl beim
  Bearbeiten ausgeblendet (bereits zugeordnete Daten bleiben in der
  Datenbank erhalten). Umschalten und Hinweistext bearbeiten dürfen
  sowohl Kantinenpersonal als auch Admins.
 ## [1.7.0] – 2026-07-19
 ### Hinzugefügt
 - CSV-Import/-Export für Gerichte, Allergene und Zusatzstoffe (Buttons
  „Exportieren“/„Importieren“ auf den jeweiligen Verwaltungsseiten).
  Export lädt die aktuelle Liste als CSV herunter (Gerichte:
  `name,name_en,name_pl,price,allergens,additives`, Allergene/
  Zusatzstoffe: `code,name,name_en,name_pl`; Kürzel bei Gerichten
  Semikolon-getrennt in einer Zelle, z. B. `A;G`). Import liest dieselbe
  Spaltenstruktur (Reihenfolge egal, Groß-/Kleinschreibung der
  Kopfzeile wird ignoriert) und aktualisiert bestehende Einträge
  (Abgleich über Kürzel bei Allergenen/Zusatzstoffen, über den exakten
  Namen bei Gerichten) bzw. legt neue an. Zeilen mit fehlenden
  Pflichtfeldern, ungültigem Preis oder mehrdeutigem Gerichtsnamen
  (mehrere Gerichte mit demselben Namen) werden übersprungen und mit
  Grund in der Erfolgsmeldung aufgelistet, statt den ganzen Import
  abzubrechen.
 ### Behoben
 - RSS-Feed (`/feed.xml`): Mehrere Feed-Reader (u. a. Outlook,
  Thunderbird) behandeln `<description>` als kurze Vorschau und kürzen
  sie eigenmächtig – dadurch war bei Tagen mit mehreren Essenszeiten
  oft nur die erste sichtbar, obwohl der Server bereits alle
  Essenszeiten des Tages in der Beschreibung lieferte. Zusätzlich zu
  `<description>` wird jetzt auch `<content:encoded>` (RSS-Content-
  Modul) mit demselben vollständigen Inhalt ausgeliefert – von den
  meisten Readern als vollständiger Artikeltext erkannt und ungekürzt
  angezeigt.
 ## [1.6.3] – 2026-07-18
 ### Behoben
 - `docker-compose.yml`: Der `app`-Dienst setzte `BRANDING_DIR` nicht, sodass
  `lib/branding.ts` beim Hochladen von Logo/Favicon auf den Fallback-Pfad
  `${cwd}/data/branding` (= `/app/data/branding`) statt auf das im
  Dockerfile vorbereitete, gemountete Verzeichnis `/data/branding` auswich.
  `/app` gehört im Container `root`, der App-Prozess läuft aber als
  nicht-root-Nutzer `nextjs` – das Anlegen des Fallback-Verzeichnisses
  scheiterte mit `EACCES`, der Upload endete mit „Upload fehlgeschlagen:
  500". Jetzt wird `BRANDING_DIR=/data/branding` explizit gesetzt, passend
  zum Volume-Mount und zum in `Dockerfile` per `chown` freigegebenen
  Verzeichnis.
 ## [1.6.2] – 2026-07-18
 ### Behoben
 - `scripts/bootstrap-admin.mjs`: Konnte `ZUGANGSDATEN.md` nicht
  geschrieben werden (z. B. `EACCES`, weil die per Bind-Mount
  eingebundene Host-Datei root gehört und der App-Container als
  nicht-root läuft), brach das Skript ab, nachdem der Admin-Benutzer
  bereits in der Datenbank angelegt war – das generierte Passwort war
  dann nirgends mehr zu finden. Schreibt jetzt bei einem Fehler
  stattdessen E-Mail/Passwort ins Log und beendet sich weiterhin
  erfolgreich.
 - DEPLOYMENT.md: Schritt 2 fehlte `chmod 666 ZUGANGSDATEN.md` (der
  eigentliche Auslöser des Bugs oben). Neue Fehlerbehebung-Einträge für
  `ECONNREFUSED` beim Start (harmlose Start-Reihenfolge, löst sich
  durch den automatischen Neustart von selbst) und für diesen
  `EACCES`-Fall inkl. Recovery-Anleitung für einen bereits verwaisten
  Admin-Account.
 ## [1.6.1] – 2026-07-18
 ### Geändert
 - PostgreSQL-Container ist nicht mehr über einen Host-Port erreichbar
  (`docker-compose.yml`: `ports: 5433:5432` beim `db`-Dienst entfernt).
  App und Dev-Server erreichen die Datenbank weiterhin über das von
  Docker Compose automatisch angelegte interne Netzwerk (Hostname
  `db`) – reduziert die Angriffsfläche, ohne den Betrieb zu ändern.
  Debugging/Backup weiterhin über `docker compose exec db psql`/
  `pg_dump` möglich.
 ### Behoben
 - DEPLOYMENT.md: Fehlerbehebung-Abschnitt für
  `password authentication failed for user "postgres"` ergänzt (tritt
  auf, wenn `docker compose up` vor dem Setzen von `LOCAL_PG_PASSWORD`
  läuft oder ohne `--env-file .env.local` – PostgreSQL übernimmt das
  Passwort nur beim allerersten Start auf leerem Datenverzeichnis).
  `.env.example` warnt jetzt vor Sonderzeichen in `LOCAL_PG_PASSWORD`,
  die beim `.env`-Parsing zu stillen Fehlern führen können.
 ## [1.6.0] – 2026-07-18
 ### Hinzugefügt
 - RSS-Feed des Speiseplans (`/feed.xml`, ein Eintrag pro Tag mit den
  Gerichten je Essenszeit für die aktuelle und die nächste Woche) zum
  Abonnieren in einem Feedreader. Autodiscovery-Link im Seiten-`<head>`
  sowie sichtbares RSS-Icon im Kopfbereich der öffentlichen
  Speisekarte.
 - Kantinen-Bereich: „Vorschläge“-Navigationspunkt zeigt jetzt die
  Anzahl offener Rezeptvorschläge als Zahl im roten Kreis.
 - Neues [DEPLOYMENT.md](DEPLOYMENT.md): Schritt-für-Schritt-Anleitung
  für die Inbetriebnahme auf einem neuen Server (Docker Compose,
  Konfiguration, Reverse-Proxy/HTTPS, Updates, Backup).
 ### Geändert
 - Letzte Erwähnungen von Supabase in aktiven Doku-Texten und
  Code-Kommentaren entfernt/umformuliert (README, Migrationsschema,
  Passkey-Konfiguration, Branding-Ablage) – die App läuft seit v1.5
  vollständig ohne Supabase, das sollte sich jetzt auch durchgängig in
  der Dokumentation widerspiegeln. Historische CHANGELOG-Einträge
  bleiben unverändert.
 - `.env.example`: `LOCAL_PG_PASSWORD` (von `docker-compose.yml`
  verwendet, um die Datenbank-Verbindung der App-Container
  zusammenzubauen) war bisher nirgends dokumentiert – beim Schreiben
  der Deployment-Anleitung aufgefallen und ergänzt.
 ## [1.5.0] – 2026-07-18
 ### Hinzugefügt
@@ -0,0 +1,276 @@
 # Deployment auf einem neuen Server
 Schritt-für-Schritt-Anleitung, um Canteen Menu auf einem frischen
 (Linux-)Server produktiv zu betreiben. Die App läuft vollständig selbst
 gehostet (PostgreSQL + eigene Auth), einzige optionale externe
 Abhängigkeit ist DeepL für automatische Übersetzungen.
 ## Voraussetzungen
 - Ein Server (VM oder Root-Server) mit Docker und Docker Compose v2
  (`docker compose version` sollte funktionieren; auf den meisten
  aktuellen Distributionen per `apt install docker.io
  docker-compose-v2` bzw. dem [offiziellen Docker-Install-Skript](https://docs.docker.com/engine/install/)
  installierbar).
 - Eine Domain, deren DNS-A/AAAA-Eintrag auf die Server-IP zeigt (z. B.
  `menu.example.de`). Ohne eigene Domain funktioniert die App auch
  unter der reinen Server-IP, dann aber ohne gültiges HTTPS-Zertifikat
  und ohne funktionierende Passkeys (siehe unten).
 - Mindestens 1 GB RAM frei (App + PostgreSQL sind genügsam, für ~250
  Mitarbeiter reicht die kleinste übliche VM-Größe).
 ## 1. Repository auf den Server holen
 ```bash
 git clone https://github.com/<dein-fork-oder-repo>/canteen-menu.git
 cd canteen-menu
 ```
 (Oder per `git pull`/`scp`, falls kein direkter Git-Zugriff vom Server
 aus gewünscht ist.)
 ## 2. Konfiguration anlegen
 ```bash
 cp .env.example .env.local
 ```
 `.env.local` mit einem Editor öffnen und ausfüllen:
 | Variable | Was rein muss |
 | --- | --- |
 | `LOCAL_PG_PASSWORD` | Ein neues, zufälliges Passwort **nur aus Buchstaben/Zahlen** (z. B. `openssl rand -hex 24`) – wird beim ersten Start zum Datenbank-Passwort des mitgelieferten PostgreSQL-Containers. Zeichen wie `#`, `$`, Leerzeichen oder Anführungszeichen können beim Einlesen der `.env`-Datei zu Problemen führen (`#` beginnt z. B. einen Kommentar) |
 | `APP_URL` | Die öffentliche URL mit Schema, z. B. `https://menu.example.de` (auch wenn HTTPS erst in Schritt 5 eingerichtet wird – schon jetzt korrekt eintragen, da daraus u. a. die Passkey-Domain abgeleitet wird) |
 | `SITE_TITLE` | Optional, Titel im Browser-Tab/Überschrift ohne Logo |
 | `ADMIN_EMAIL` | Optional, E-Mail des automatisch angelegten Admin-Erstnutzers. Ohne Angabe: `admin@<Hostname aus APP_URL>` |
 | `DEEPL_API_KEY` | Optional, nur für automatische Übersetzung |
 `DATABASE_URL` in `.env.local` **nicht** anpassen – die wird nur für
 den Betrieb ohne Docker gebraucht (siehe README) und beim
 Docker-Compose-Start ignoriert.
 Zusätzlich eine leere Datei für die automatisch generierten
 Admin-Zugangsdaten anlegen, da sie per Bind-Mount in den Container
 eingebunden wird. Der App-Container läuft als nicht-root-Nutzer –
 damit er die Datei beschreiben darf, muss sie für alle schreibbar sein:
 ```bash
 touch ZUGANGSDATEN.md
 chmod 666 ZUGANGSDATEN.md
 ```
 ## 3. App starten
 **Wichtig:** `.env.local` muss vollständig ausgefüllt sein, *bevor*
 dieser Befehl zum ersten Mal läuft – und danach immer mit
 `--env-file .env.local` aufgerufen werden. PostgreSQL setzt sein
 Passwort nur beim allerersten Start auf einem leeren Datenverzeichnis;
 läuft der Befehl vorher schon einmal ohne (oder mit einem anderen)
 `--env-file`, landet ein falsches Passwort dauerhaft im Datenbank-Volume
 (Symptom: `password authentication failed for user "postgres"` in den
 App-Logs, siehe [Fehlerbehebung](#fehlerbehebung)).
 ```bash
 docker compose --env-file .env.local up -d --build
 ```
 Das baut das Docker-Image, startet PostgreSQL und die App, wendet beim
 ersten Start automatisch das Datenbankschema an und legt – da die
 Datenbank leer ist – einen einzigen Admin-Benutzer mit zufällig
 generiertem Passwort an.
 Kurz prüfen, ob beides läuft:
 ```bash
 docker compose ps
 docker compose logs app --tail 30
 ```
 In den Logs sollte u. a. `bootstrap-admin – Admin angelegt: ...`
 stehen.
 ## 4. Admin-Zugangsdaten abholen
 ```bash
 cat ZUGANGSDATEN.md
 ```
 Enthält E-Mail-Adresse und Passwort des automatisch angelegten
 Admin-Kontos. Direkt nach dem ersten Login unter „Mein Konto“ das
 Passwort ändern und optional einen Passkey registrieren.
 Die App ist jetzt unter `http://<server-ip>:3000` erreichbar – für den
 produktiven Betrieb fehlt noch HTTPS/die Domain (nächster Schritt).
 ## 5. Reverse-Proxy + HTTPS einrichten
 Die App selbst spricht nur HTTP auf Port 3000; TLS/HTTPS übernimmt ein
 Reverse-Proxy davor. Am einfachsten mit [Caddy](https://caddyserver.com/)
 (automatisches Let’s-Encrypt-Zertifikat, keine manuelle Zertifikats-
 verwaltung nötig):
 ```bash
 sudo apt install caddy   # oder: siehe caddyserver.com/docs/install
 ```
 `/etc/caddy/Caddyfile`:
 ```
 menu.example.de {
    reverse_proxy localhost:3000
 }
 ```
 ```bash
 sudo systemctl reload caddy
 ```
 Caddy holt beim ersten Aufruf automatisch ein Zertifikat und leitet
 danach HTTP→HTTPS um. Alternative: nginx + certbot, falls bereits ein
 nginx-Setup existiert (Standard-`proxy_pass`-Konfiguration auf
 `http://127.0.0.1:3000`, Zertifikat separat per `certbot --nginx`).
 Danach in `.env.local` sicherstellen, dass `APP_URL=https://menu.example.de`
 gesetzt ist (Schema `https`, keine Portangabe), und die App neu
 starten, falls diese Variable nach Schritt 2 noch geändert wurde:
 ```bash
 docker compose --env-file .env.local up -d
 ```
 ## 6. Danach
 - Passkeys funktionieren erst mit korrekt gesetzter `APP_URL` (RP-Domain
  wird direkt daraus abgeleitet) und über HTTPS (Passkeys verlangen eine
  sichere Origin, `localhost` ausgenommen).
 - Weitere Kantinenmitarbeiter/Admins unter „Benutzer“ (nur als Admin
  sichtbar) anlegen.
 - Essenszeiten, Gerichte, Allergene/Zusatzstoffe sind zu Beginn leer und
  werden im Kantinen-Bereich gepflegt.
 - Logo/Favicon/Farben unter „Design“ (nur Admin) anpassen.
 ## SSO/OpenID Connect (optional)
 Zusätzlich zu Passwort und Passkey kann ein SSO-Login gegen einen
 beliebigen OpenID-Connect-Provider aktiviert werden (z. B. ein selbst
 gehostetes [Authentik](https://goauthentik.io/)). Dazu in `.env.local`
 setzen:
 ```bash
 OIDC_ISSUER=https://authentik.example.de/application/o/canteen-menu/
 OIDC_CLIENT_ID=<client-id-aus-authentik>
 OIDC_CLIENT_SECRET=<client-secret-aus-authentik>
 ```
 Beim Identity Provider als Redirect-URI hinterlegen:
 `<APP_URL>/api/auth/oidc/callback` (also z. B.
 `https://menu.example.de/api/auth/oidc/callback`).
 **Wichtig:** SSO-Login funktioniert ausschließlich für E-Mail-Adressen,
 die bereits unter „Benutzer“ angelegt sind – es werden nie neue Konten
 angelegt, und die Rolle (Admin/Kantinenmitarbeiter) bleibt ausschließlich
 dort steuerbar. Ein Mitarbeiter muss also zuerst ganz normal als
 Benutzer angelegt werden, bevor er sich per SSO anmelden kann.
 Ohne die drei Variablen bleibt der SSO-Button auf der Anmeldeseite
 einfach ausgeblendet, Passwort/Passkey funktionieren unverändert.
 ## Fehlerbehebung
 ### `password authentication failed for user "postgres"` in den App-Logs
 Ursache: Das Docker-Volume der Datenbank wurde bereits mit einem
 anderen Passwort initialisiert, als aktuell in `.env.local` steht (z. B.
 weil `docker compose up` einmal ohne `--env-file .env.local` lief, bevor
 das Passwort gesetzt war, oder `LOCAL_PG_PASSWORD` nachträglich geändert
 wurde – PostgreSQL übernimmt das Passwort nur beim allerersten Start).
 Fix, solange noch keine echten Daten in der Datenbank sind (bei einem
 frischen Deployment immer der Fall):
 ```bash
 docker compose --env-file .env.local down
 docker volume rm canteen-menu_pgdata
 docker compose --env-file .env.local up -d --build
 docker compose logs app --tail 30
 ```
 Existieren bereits echte Daten, stattdessen das Passwort direkt im
 laufenden Datenbank-Container an `.env.local` angleichen, statt das
 Volume zu löschen:
 ```bash
 docker compose exec db psql -U postgres -c "ALTER USER postgres WITH PASSWORD '<Wert aus LOCAL_PG_PASSWORD>';"
 docker compose --env-file .env.local up -d
 ```
 ### `Error: connect ECONNREFUSED ...:5432` beim Start
 Normal beim allerersten Start: Der App-Container versucht sich zu
 verbinden, bevor PostgreSQL im `db`-Container fertig hochgefahren ist.
 Dank `restart: unless-stopped` startet der App-Container automatisch
 neu und verbindet sich, sobald die Datenbank bereit ist (kann ein paar
 Sekunden bis wenige Minuten dauern). Mit `docker compose logs app -f`
 verfolgen – taucht der Fehler dauerhaft (mehrere Minuten) weiter auf,
 `docker compose ps` prüfen, ob der `db`-Container tatsächlich dauerhaft
 läuft.
 ### `EACCES: permission denied, open '/app/ZUGANGSDATEN.md'`
 Die Datei wurde ohne Schreibrecht für alle angelegt (Schritt 2 oben,
 `chmod 666` fehlte). Der Admin-Benutzer wurde in diesem Fall trotzdem
 in der Datenbank angelegt, nur die Zugangsdaten konnten nicht in die
 Datei geschrieben werden – sie stehen dann stattdessen im Log
 (`docker compose logs app` nach `bootstrap-admin – Admin-Passwort:`
 durchsuchen). Für zukünftige Deployments zusätzlich die Berechtigung
 korrigieren:
 ```bash
 chmod 666 ZUGANGSDATEN.md
 ```
 Falls das Passwort auch im Log nicht mehr auffindbar ist (z. B. weil
 Logs schon rotiert wurden), Admin-Konto neu anlegen lassen:
 ```bash
 docker compose exec db psql -U postgres -d canteen_menu -c "delete from users;"
 chmod 666 ZUGANGSDATEN.md
 docker compose restart app
 docker compose logs app --tail 20
 cat ZUGANGSDATEN.md
 ```
 ## Updates einspielen
 ```bash
 git pull
 docker compose --env-file .env.local up -d --build
 ```
 Neue Datenbank-Migrationen (`db/migrations/*.sql`) werden beim Start
 automatisch und idempotent angewendet, bestehende Daten bleiben
 erhalten.
 Alternativ übernimmt `./update.sh` den kompletten Ablauf: Stack stoppen,
 lokale Änderungen an `docker-compose.yml` per `git stash` sichern (falls
 vorhanden), `git pull`, Änderungen zurückspielen, Stack neu bauen und
 starten:
 ```bash
 ./update.sh
 ```
 ## Backup
 Zwei Docker-Volumes enthalten alle persistenten Daten:
 - `canteen-menu_pgdata` – die komplette PostgreSQL-Datenbank
 - `canteen-menu_branding_data` – hochgeladenes Logo/Favicon
 ```bash
 docker run --rm -v canteen-menu_pgdata:/data -v "$PWD":/backup alpine \
  tar czf /backup/pgdata-backup.tar.gz -C /data .
 ```
 Für ein reines Datenbank-Backup eignet sich auch `docker compose exec db
 pg_dump -U postgres canteen_menu > backup.sql`.
@@ -11,14 +11,16 @@ DeepL als einzige externe API (optional). Läuft vollständig selbst
 gehostet, keine Cloud-Abhängigkeit außer optional DeepL.
 Änderungen je Version stehen in [CHANGELOG.md](CHANGELOG.md), Git-Tags
-markieren die jeweiligen Versionsstände (`git tag`).
+markieren die jeweiligen Versionsstände (`git tag`). Schritt-für-Schritt-
 Anleitung für die Inbetriebnahme auf einem neuen Server:
 [DEPLOYMENT.md](DEPLOYMENT.md).
 ## Funktionen
 | Bereich | Funktionen |
 | --- | --- |
-| Öffentlich (ohne Login) | Wochenplan Mo–Fr mit frei konfigurierbaren Essenszeiten; Navigation vorherige/nächste Woche/Heute; auf schmalen Bildschirmen umschaltbare Tages-/Wochenansicht (Tag ist Standard); Logo zentriert über der Karte; Allergen-/Zusatzstoff-Kürzel je Gericht, Legende unterhalb der Karte; Sprachumschalter Deutsch/Englisch/Polnisch; Rezeptvorschläge einreichen |
+| Öffentlich (ohne Login) | Wochenplan Mo–Fr mit frei konfigurierbaren Essenszeiten; Navigation vorherige/nächste Woche/Heute; auf schmalen Bildschirmen umschaltbare Tages-/Wochenansicht (Tag ist Standard); Logo zentriert über der Karte; Allergen-/Zusatzstoff-Kürzel je Gericht, Legende unterhalb der Karte; Sprachumschalter Deutsch/Englisch/Polnisch; Rezeptvorschläge einreichen; RSS-Feed (`/feed.xml`, Icon im Kopfbereich) mit einem Eintrag pro Tag zum Abonnieren |
-| Kantinen-Team (`/intern`) | Essenszeiten anlegen/bearbeiten/löschen/neu anordnen; Gerichte anlegen/bearbeiten/löschen (inkl. Live-Suche, Mehrfachauswahl zum Batch-Löschen, englischem/polnischem Namen mit automatischer DeepL-Übersetzung) mit Allergenen/Zusatzstoffen je Gericht; Gerichte Tagen/Essenszeiten zuweisen (mehrere pro Zelle) und wieder entfernen; globale Allergen-/Zusatzstofflisten pflegen (ebenfalls mehrsprachig); eingereichte Rezeptvorschläge sichten, übernehmen oder ablehnen; eigenes Konto verwalten (Name, E-Mail, Passwort, Passkeys, Passwort-Anmeldung an/aus) |
+| Kantinen-Team (`/intern`) | Essenszeiten anlegen/bearbeiten/löschen/neu anordnen; Gerichte anlegen/bearbeiten/löschen (inkl. Live-Suche, Mehrfachauswahl zum Batch-Löschen, englischem/polnischem Namen mit automatischer DeepL-Übersetzung) mit Allergenen/Zusatzstoffen je Gericht; Gerichte per Suche Tagen/Essenszeiten zuweisen (mehrere pro Zelle) und wieder entfernen; globale Allergen-/Zusatzstofflisten pflegen (ebenfalls mehrsprachig); eingereichte Rezeptvorschläge sichten, übernehmen oder ablehnen (Anzahl offener Vorschläge als Badge in der Navigation); eigenes Konto verwalten (Name, E-Mail, Passwort, Passkeys, Passwort-Anmeldung an/aus) |
 | Admin (`/admin`) | Kantinenmitarbeiter anlegen/bearbeiten/löschen (inkl. Passwort-Reset mit Wiederholung und Rollenvergabe); Farbgebung der Speisekarte anpassen; Logo und Favicon hochladen/entfernen |
 Anmeldung mit E-Mail + Passwort oder alternativ per **Passkey**
@@ -37,6 +39,7 @@ mit optionaler automatischer Übersetzung über DeepL (siehe
 ```
 app/                    Next.js-Routen
  page.tsx              Öffentliche Speisekarte
  feed.xml/              RSS-Feed des Speiseplans (öffentlich)
  login/                Login (Passwort + Passkey)
  vorschlag/             Öffentliches Rezeptvorschlag-Formular
  intern/               Kantinen-Bereich (Rolle: staff oder admin)
@@ -107,7 +110,7 @@ PostgreSQL müssen nicht installiert sein):
 ```bash
 docker compose --env-file .env.local up -d --build
 # App: Port 3000 (hinter Reverse-Proxy mit HTTPS betreiben)
-# PostgreSQL: Port 5433
+# PostgreSQL: kein Host-Port, nur intern im Compose-Netzwerk erreichbar
 ```
 Vor dem ersten Start: eine leere `ZUGANGSDATEN.md` im Projektverzeichnis
@@ -131,7 +134,7 @@ müssen neu registriert werden.
 ## Datenbank
-Reines PostgreSQL (kein Supabase, keine Row-Level-Security-Policies) –
+Reines, selbst gehostetes PostgreSQL (keine Row-Level-Security-Policies) –
 alle Zugriffsrechte werden in den Route-Handlern geprüft (`lib/auth/session.ts`,
 `requireRole`).
@@ -0,0 +1,24 @@
 import { listCodes } from "@/lib/db/code-lists";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { toCsv } from "@/lib/csv";
 export async function GET() {
  try {
    await requireRole(["staff", "admin"]);
    const items = await listCodes("additives");
    const rows = [
      ["code", "name", "name_en", "name_pl"],
      ...items.map((i) => [i.code, i.name, i.name_en ?? "", i.name_pl ?? ""]),
    ];
    return new Response(toCsv(rows), {
      headers: {
        "Content-Type": "text/csv; charset=utf-8",
        "Content-Disposition": 'attachment; filename="zusatzstoffe.csv"',
      },
    });
  } catch (err) {
    const res = authErrorResponse(err);
    if (res) return res;
    throw err;
  }
 }
@@ -0,0 +1,53 @@
 import { NextResponse } from "next/server";
 import { importCodes, type CodeImportRow } from "@/lib/db/code-lists";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { isSameOrigin } from "@/lib/origin";
 import { parseCsvWithHeader } from "@/lib/csv";
 export async function POST(request: Request) {
  if (!isSameOrigin(request)) {
    return NextResponse.json({ error: "Nicht erlaubt." }, { status: 403 });
  }
  try {
    await requireRole(["staff", "admin"]);
    const form = await request.formData();
    const file = form.get("file");
    if (!(file instanceof File)) {
      return NextResponse.json({ error: "invalid_input" }, { status: 400 });
    }
    const { header, rows: cells } = parseCsvWithHeader(await file.text());
    const codeIdx = header.indexOf("code");
    const nameIdx = header.indexOf("name");
    if (codeIdx === -1 || nameIdx === -1) {
      return NextResponse.json({ error: "missing_columns" }, { status: 400 });
    }
    const nameEnIdx = header.indexOf("name_en");
    const namePlIdx = header.indexOf("name_pl");
    const rows: CodeImportRow[] = [];
    const skipped: { row: number; reason: string }[] = [];
    cells.forEach((c, i) => {
      const rowNum = i + 2; // 1-indexiert + Kopfzeile
      const code = (c[codeIdx] ?? "").trim();
      const name = (c[nameIdx] ?? "").trim();
      if (!code || !name) {
        skipped.push({ row: rowNum, reason: "Kürzel oder Bezeichnung fehlt" });
        return;
      }
      rows.push({
        code,
        name,
        name_en: nameEnIdx >= 0 ? c[nameEnIdx]?.trim() || null : null,
        name_pl: namePlIdx >= 0 ? c[namePlIdx]?.trim() || null : null,
      });
    });
    const result = rows.length > 0 ? await importCodes("additives", rows) : { created: 0, updated: 0 };
    return NextResponse.json({ ...result, skipped });
  } catch (err) {
    const res = authErrorResponse(err);
    if (res) return res;
    throw err;
  }
 }
@@ -0,0 +1,24 @@
 import { listCodes } from "@/lib/db/code-lists";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { toCsv } from "@/lib/csv";
 export async function GET() {
  try {
    await requireRole(["staff", "admin"]);
    const items = await listCodes("allergens");
    const rows = [
      ["code", "name", "name_en", "name_pl"],
      ...items.map((i) => [i.code, i.name, i.name_en ?? "", i.name_pl ?? ""]),
    ];
    return new Response(toCsv(rows), {
      headers: {
        "Content-Type": "text/csv; charset=utf-8",
        "Content-Disposition": 'attachment; filename="allergene.csv"',
      },
    });
  } catch (err) {
    const res = authErrorResponse(err);
    if (res) return res;
    throw err;
  }
 }
@@ -0,0 +1,53 @@
 import { NextResponse } from "next/server";
 import { importCodes, type CodeImportRow } from "@/lib/db/code-lists";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { isSameOrigin } from "@/lib/origin";
 import { parseCsvWithHeader } from "@/lib/csv";
 export async function POST(request: Request) {
  if (!isSameOrigin(request)) {
    return NextResponse.json({ error: "Nicht erlaubt." }, { status: 403 });
  }
  try {
    await requireRole(["staff", "admin"]);
    const form = await request.formData();
    const file = form.get("file");
    if (!(file instanceof File)) {
      return NextResponse.json({ error: "invalid_input" }, { status: 400 });
    }
    const { header, rows: cells } = parseCsvWithHeader(await file.text());
    const codeIdx = header.indexOf("code");
    const nameIdx = header.indexOf("name");
    if (codeIdx === -1 || nameIdx === -1) {
      return NextResponse.json({ error: "missing_columns" }, { status: 400 });
    }
    const nameEnIdx = header.indexOf("name_en");
    const namePlIdx = header.indexOf("name_pl");
    const rows: CodeImportRow[] = [];
    const skipped: { row: number; reason: string }[] = [];
    cells.forEach((c, i) => {
      const rowNum = i + 2; // 1-indexiert + Kopfzeile
      const code = (c[codeIdx] ?? "").trim();
      const name = (c[nameIdx] ?? "").trim();
      if (!code || !name) {
        skipped.push({ row: rowNum, reason: "Kürzel oder Bezeichnung fehlt" });
        return;
      }
      rows.push({
        code,
        name,
        name_en: nameEnIdx >= 0 ? c[nameEnIdx]?.trim() || null : null,
        name_pl: namePlIdx >= 0 ? c[namePlIdx]?.trim() || null : null,
      });
    });
    const result = rows.length > 0 ? await importCodes("allergens", rows) : { created: 0, updated: 0 };
    return NextResponse.json({ ...result, skipped });
  } catch (err) {
    const res = authErrorResponse(err);
    if (res) return res;
    throw err;
  }
 }
@@ -0,0 +1,60 @@
 import { NextResponse } from "next/server";
 import { queryOne } from "@/lib/db";
 import { createSession } from "@/lib/auth/session";
 import { isConfigured } from "@/lib/auth/oidc-config";
 import { consumeState } from "@/lib/auth/oidc-state";
 import { discover, exchangeCode, resolveEmail, verifyIdToken } from "@/lib/auth/oidc-client";
 import type { Role } from "@/lib/types";
 function errorRedirect(request: Request, code: string): NextResponse {
  return NextResponse.redirect(new URL(`/login?error=${code}`, request.url));
 }
 // GET statt POST: der Identity Provider leitet den Browser per
 // Redirect hierher (Cross-Origin-Navigation) – die übliche
 // isSameOrigin()-CSRF-Prüfung greift hier nicht und wird bewusst nicht
 // verwendet. Die Absicherung ist der einmalig verwendbare state-
 // Parameter (Standard-OIDC-Mechanismus, siehe lib/auth/oidc-state.ts).
 export async function GET(request: Request) {
  if (!isConfigured()) {
    return errorRedirect(request, "oidc_failed");
  }
  const url = new URL(request.url);
  const code = url.searchParams.get("code");
  const state = url.searchParams.get("state");
  const idpError = url.searchParams.get("error");
  if (idpError || !code || !state) {
    return errorRedirect(request, "oidc_failed");
  }
  const stored = await consumeState(state);
  if (!stored) {
    return errorRedirect(request, "oidc_invalid_state");
  }
  try {
    const discovery = await discover();
    const { idToken, accessToken } = await exchangeCode(discovery, code, stored.codeVerifier);
    const payload = await verifyIdToken(discovery, idToken, stored.nonce);
    const email = await resolveEmail(discovery, payload, accessToken);
    if (!email) {
      return errorRedirect(request, "oidc_failed");
    }
    const user = await queryOne<{ id: string; role: Role }>(
      "select id, role from users where email = $1",
      [email.trim().toLowerCase()]
    );
    if (!user) {
      return errorRedirect(request, "oidc_unknown_user");
    }
    await createSession(user.id);
    return NextResponse.redirect(
      new URL(user.role === "admin" ? "/admin" : "/intern", request.url)
    );
  } catch {
    return errorRedirect(request, "oidc_failed");
  }
 }
@@ -0,0 +1,31 @@
 import { createHash, randomBytes } from "node:crypto";
 import { NextResponse } from "next/server";
 import { isConfigured } from "@/lib/auth/oidc-config";
 import { storeState } from "@/lib/auth/oidc-state";
 import { buildAuthorizeUrl, discover } from "@/lib/auth/oidc-client";
 // Bewusst ein einfacher GET-Link statt eines CSRF-gesicherten POSTs:
 // der Browser muss hier auf die fremde Login-Seite des Identity
 // Providers navigieren (funktioniert nicht per fetch/XHR) – identisch
 // zum Muster jeder "Login mit X"-Schaltfläche. Die Absicherung gegen
 // Cross-Site-Missbrauch übernimmt der state-Parameter im Callback.
 export async function GET(request: Request) {
  if (!isConfigured()) {
    return NextResponse.json({ error: "oidc_not_configured" }, { status: 404 });
  }
  const state = randomBytes(32).toString("base64url");
  const nonce = randomBytes(32).toString("base64url");
  const codeVerifier = randomBytes(32).toString("base64url");
  const codeChallenge = createHash("sha256").update(codeVerifier).digest("base64url");
  try {
    const discovery = await discover();
    await storeState(state, nonce, codeVerifier);
    return NextResponse.redirect(
      buildAuthorizeUrl(discovery, { state, nonce, codeChallenge })
    );
  } catch {
    return NextResponse.redirect(new URL("/login?error=oidc_failed", request.url));
  }
 }
@@ -0,0 +1,32 @@
 import { query } from "@/lib/db";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { toCsv } from "@/lib/csv";
 import type { Dish } from "@/lib/types";
 export async function GET() {
  try {
    await requireRole(["staff", "admin"]);
    const dishes = await query<Dish>("select * from dishes order by name");
    const rows = [
      ["name", "name_en", "name_pl", "price", "allergens", "additives"],
      ...dishes.map((d) => [
        d.name,
        d.name_en ?? "",
        d.name_pl ?? "",
        String(d.price),
        (d.allergens ?? []).join(";"),
        (d.additives ?? []).join(";"),
      ]),
    ];
    return new Response(toCsv(rows), {
      headers: {
        "Content-Type": "text/csv; charset=utf-8",
        "Content-Disposition": 'attachment; filename="gerichte.csv"',
      },
    });
  } catch (err) {
    const res = authErrorResponse(err);
    if (res) return res;
    throw err;
  }
 }
@@ -0,0 +1,110 @@
 import { NextResponse } from "next/server";
 import { withTransaction } from "@/lib/db";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { isSameOrigin } from "@/lib/origin";
 import { parseCsvWithHeader, splitCodes } from "@/lib/csv";
 interface ImportRow {
  rowNum: number;
  name: string;
  name_en: string | null;
  name_pl: string | null;
  price: number;
  allergens: string[];
  additives: string[];
 }
 export async function POST(request: Request) {
  if (!isSameOrigin(request)) {
    return NextResponse.json({ error: "Nicht erlaubt." }, { status: 403 });
  }
  try {
    await requireRole(["staff", "admin"]);
    const form = await request.formData();
    const file = form.get("file");
    if (!(file instanceof File)) {
      return NextResponse.json({ error: "invalid_input" }, { status: 400 });
    }
    const { header, rows: cells } = parseCsvWithHeader(await file.text());
    const nameIdx = header.indexOf("name");
    const priceIdx = header.indexOf("price");
    if (nameIdx === -1 || priceIdx === -1) {
      return NextResponse.json({ error: "missing_columns" }, { status: 400 });
    }
    const nameEnIdx = header.indexOf("name_en");
    const namePlIdx = header.indexOf("name_pl");
    const allergensIdx = header.indexOf("allergens");
    const additivesIdx = header.indexOf("additives");
    const rows: ImportRow[] = [];
    const skipped: { row: number; reason: string }[] = [];
    cells.forEach((c, i) => {
      const rowNum = i + 2; // 1-indexiert + Kopfzeile
      const name = (c[nameIdx] ?? "").trim();
      if (!name) {
        skipped.push({ row: rowNum, reason: "Name fehlt" });
        return;
      }
      const priceRaw = (c[priceIdx] ?? "").trim().replace(",", ".");
      const price = Number.parseFloat(priceRaw);
      if (Number.isNaN(price) || price < 0) {
        skipped.push({ row: rowNum, reason: `Ungültiger Preis „${c[priceIdx] ?? ""}“` });
        return;
      }
      rows.push({
        rowNum,
        name,
        name_en: nameEnIdx >= 0 ? c[nameEnIdx]?.trim() || null : null,
        name_pl: namePlIdx >= 0 ? c[namePlIdx]?.trim() || null : null,
        price,
        allergens: allergensIdx >= 0 ? splitCodes(c[allergensIdx]) : [],
        additives: additivesIdx >= 0 ? splitCodes(c[additivesIdx]) : [],
      });
    });
    let created = 0;
    let updated = 0;
    if (rows.length > 0) {
      await withTransaction(async (client) => {
        for (const row of rows) {
          // Gerichtsnamen sind nicht eindeutig (keine DB-Constraint) – bei
          // mehreren Treffern lieber überspringen als versehentlich alle
          // gleichnamigen Gerichte mit denselben Werten zu überschreiben.
          const existing = await client.query<{ id: string }>(
            "select id from dishes where name = $1",
            [row.name]
          );
          if (existing.rows.length > 1) {
            skipped.push({
              row: row.rowNum,
              reason: `„${row.name}“ ist mehrdeutig (mehrere Gerichte mit diesem Namen) – übersprungen`,
            });
            continue;
          }
          if (existing.rows.length === 1) {
            await client.query(
              `update dishes set name_en = $1, name_pl = $2, price = $3, allergens = $4, additives = $5
               where id = $6`,
              [row.name_en, row.name_pl, row.price, row.allergens, row.additives, existing.rows[0].id]
            );
            updated++;
          } else {
            await client.query(
              `insert into dishes (name, name_en, name_pl, price, allergens, additives)
               values ($1, $2, $3, $4, $5, $6)`,
              [row.name, row.name_en, row.name_pl, row.price, row.allergens, row.additives]
            );
            created++;
          }
        }
      });
    }
    return NextResponse.json({ created, updated, skipped });
  } catch (err) {
    const res = authErrorResponse(err);
    if (res) return res;
    throw err;
  }
 }
@@ -1,6 +1,6 @@
 import { NextResponse } from "next/server";
 import { query } from "@/lib/db";
-import { getSettings } from "@/lib/db/settings";
+import { getSettings, type LabelingMode } from "@/lib/db/settings";
 import { authErrorResponse, requireRole } from "@/lib/auth/session";
 import { isSameOrigin } from "@/lib/origin";
@@ -8,14 +8,58 @@ export async function GET() {
  return NextResponse.json(await getSettings());
 }
 interface SettingsPatchBody {
  colors?: Record<string, string>;
  labeling_mode?: LabelingMode;
  labeling_notice?: string;
  labeling_notice_en?: string | null;
  labeling_notice_pl?: string | null;
 }
 export async function PATCH(request: Request) {
  if (!isSameOrigin(request)) {
    return NextResponse.json({ error: "Nicht erlaubt." }, { status: 403 });
  }
  try {
-    await requireRole(["admin"]);
+    // Farben bleiben admin-only wie bisher; die Allergen-/Zusatzstoff-
-    const { colors } = (await request.json()) as { colors: Record<string, string> };
+    // Anzeige darf auch Kantinenpersonal umschalten/bearbeiten.
-    await query("update settings set colors = $1 where id = 1", [JSON.stringify(colors)]);
+    const session = await requireRole(["staff", "admin"]);
    const body = (await request.json()) as SettingsPatchBody;
    const sets: string[] = [];
    const params: unknown[] = [];
    if (body.colors !== undefined) {
      if (session.user.role !== "admin") {
        return NextResponse.json({ error: "forbidden" }, { status: 403 });
      }
      params.push(JSON.stringify(body.colors));
      sets.push(`colors = $${params.length}`);
    }
    if (body.labeling_mode !== undefined) {
      if (body.labeling_mode !== "detailed" && body.labeling_mode !== "notice") {
        return NextResponse.json({ error: "invalid_input" }, { status: 400 });
      }
      params.push(body.labeling_mode);
      sets.push(`labeling_mode = $${params.length}`);
    }
    if (body.labeling_notice !== undefined) {
      params.push(body.labeling_notice);
      sets.push(`labeling_notice = $${params.length}`);
    }
    if (body.labeling_notice_en !== undefined) {
      params.push(body.labeling_notice_en);
      sets.push(`labeling_notice_en = $${params.length}`);
    }
    if (body.labeling_notice_pl !== undefined) {
      params.push(body.labeling_notice_pl);
      sets.push(`labeling_notice_pl = $${params.length}`);
    }
    if (sets.length === 0) {
      return NextResponse.json({ error: "invalid_input" }, { status: 400 });
    }
    await query(`update settings set ${sets.join(", ")} where id = 1`, params);
    return NextResponse.json({ ok: true });
  } catch (err) {
    const res = authErrorResponse(err);
@@ -0,0 +1,114 @@
 import { query } from "@/lib/db";
 import { loadMenuEntries } from "@/lib/db/menu-entries";
 import { addDays, entriesFor, formatPrice, mondayOf, todayISO } from "@/lib/menu";
 import { localized, SITE_TITLE } from "@/lib/types";
 import type { Section } from "@/lib/types";
 // RSS-Feed mit dem Speiseplan – ein Eintrag pro Tag mit Gerichten,
 // damit man ihn in einem Feedreader abonnieren kann und täglich sieht,
 // was es gibt. Immer auf Deutsch: Feedreader senden kein Sprach-Cookie,
 // eine feste Sprache ist hier verständlicher als ein zufälliger Locale-Default.
 export const dynamic = "force-dynamic";
 function escapeXml(text: string): string {
  return text.replace(/[&<>"']/g, (c) => {
    switch (c) {
      case "&":
        return "&amp;";
      case "<":
        return "&lt;";
      case ">":
        return "&gt;";
      case '"':
        return "&quot;";
      default:
        return "&apos;";
    }
  });
 }
 function formatFeedDate(iso: string): string {
  const d = new Date(`${iso}T00:00:00Z`);
  return d.toLocaleDateString("de-DE", {
    weekday: "long",
    day: "numeric",
    month: "long",
    year: "numeric",
    timeZone: "UTC",
  });
 }
 export async function GET() {
  const appUrl = (process.env.APP_URL ?? "http://localhost:3000").replace(/\/$/, "");
  const monday = mondayOf(todayISO());
  // Aktuelle + nächste Woche, wie auch die öffentliche Speisekarte per
  // Wochennavigation anzeigt.
  const rangeEnd = addDays(monday, 11);
  const [sections, entries] = await Promise.all([
    query<Section>("select * from sections order by sort"),
    loadMenuEntries(monday, rangeEnd),
  ]);
  const days = Array.from(new Set(entries.map((e) => e.menu_date))).sort();
  const items = days
    .map((iso) => {
      const dayContent = sections
        .map((s) => {
          const dishes = entriesFor(entries, iso, s.key);
          if (dishes.length === 0) return "";
          const list = dishes
            .map(
              (e) =>
                `<li>${escapeXml(localized(e.dish, "de"))} – ${formatPrice(e.dish.price)}</li>`
            )
            .join("");
          return `<p><strong>${escapeXml(localized(s, "de"))} (${escapeXml(
            s.time_range
          )})</strong></p><ul>${list}</ul>`;
        })
        .join("");
      if (!dayContent) return "";
      const [y, m, d] = iso.split("-").map(Number);
      const pubDate = new Date(Date.UTC(y, m - 1, d, 6, 0, 0)).toUTCString();
      return `    <item>
      <title>${escapeXml(formatFeedDate(iso))}</title>
      <link>${appUrl}/?woche=${mondayOf(iso)}</link>
      <guid isPermaLink="false">${appUrl}/feed.xml#${iso}</guid>
      <pubDate>${pubDate}</pubDate>
      <description><![CDATA[${dayContent}]]></description>
      <content:encoded><![CDATA[${dayContent}]]></content:encoded>
    </item>`;
    })
    .join("\n");
  // "description" gilt bei vielen Feed-Readern (Thunderbird, Outlook,
  // etliche Apps) als reine Kurzfassung/Vorschau und wird eigenmächtig
  // gekürzt – dadurch war z. B. bei mehreren Essenszeiten pro Tag oft nur
  // die erste sichtbar. "content:encoded" (RSS-Content-Modul) gilt als
  // vollständiger Artikeltext und wird von den meisten Readern
  // ungekürzt angezeigt, wenn vorhanden – redundant zu description für
  // Reader ohne Unterstützung des Moduls.
  const xml = `<?xml version="1.0" encoding="UTF-8"?>
 <rss version="2.0" xmlns:content="http://purl.org/rss/1.0/modules/content/">
  <channel>
    <title>${escapeXml(SITE_TITLE)} – Speiseplan</title>
    <link>${appUrl}</link>
    <description>Täglicher Speiseplan der Kantine</description>
    <language>de</language>
    <lastBuildDate>${new Date().toUTCString()}</lastBuildDate>
 ${items}
  </channel>
 </rss>
 `;
  return new Response(xml, {
    headers: {
      "Content-Type": "application/rss+xml; charset=utf-8",
      "Cache-Control": "public, max-age=1800",
    },
  });
 }
@@ -1,11 +1,15 @@
 import CodeListManager from "@/components/CodeListManager";
 import LabelingNoticeEditor from "@/components/LabelingNoticeEditor";
 export default function KennzeichnungPage() {
  const translateEnabled = !!process.env.DEEPL_API_KEY;
  return (
    <div className="flex flex-col gap-6">
      <LabelingNoticeEditor />
      <div className="grid gap-6 lg:grid-cols-2">
        <CodeListManager table="allergens" translateEnabled={translateEnabled} />
        <CodeListManager table="additives" translateEnabled={translateEnabled} />
      </div>
    </div>
  );
 }
@@ -25,6 +25,14 @@ export async function generateMetadata(): Promise<Metadata> {
    // einem eigenen Favicon eingebunden (Next.js kombiniert Datei-
    // Konvention und Metadata statt sie zu ersetzen).
    icons: { icon: faviconUrl(settings?.favicon_path) ?? "/favicon.ico" },
    // Autodiscovery für Feedreader (Browser zeigen dafür kein eigenes
    // Icon mehr an, daher zusätzlich ein sichtbares RSS-Icon im Header
    // der öffentlichen Speisekarte, s. app/page.tsx).
    alternates: {
      types: {
        "application/rss+xml": [{ url: "/feed.xml", title: `${SITE_TITLE} – Speiseplan` }],
      },
    },
  };
 }
@@ -1,145 +1,11 @@
-"use client";
+import LoginForm from "@/components/LoginForm";
 import { isConfigured } from "@/lib/auth/oidc-config";
-import { useState } from "react";
+export default async function LoginPage({
-import { useRouter } from "next/navigation";
+  searchParams,
-import Link from "next/link";
+}: {
-import { startAuthentication } from "@simplewebauthn/browser";
+  searchParams: Promise<{ error?: string }>;
-import { formatMessage } from "@/lib/i18n/shared";
+}) {
-import { useDict } from "@/components/i18n/LocaleProvider";
+  const { error } = await searchParams;
-import LanguageSwitcher from "@/components/i18n/LanguageSwitcher";
+  return <LoginForm oidcEnabled={isConfigured()} initialError={error ?? null} />;
 import type { Dict } from "@/lib/i18n/shared";
 function authErrorMessage(dict: Dict, code: string): string {
  if (code === "invalid_credentials") return dict.login.errorInvalidCredentials;
  if (code === "password_disabled") return dict.login.errorPasswordDisabled;
  if (/cancelled|aborted|NotAllowedError/i.test(code))
    return dict.login.errorPasskeyCancelled;
  return formatMessage(dict.login.errorGeneric, { message: code });
 }
 function redirectPath(role: string): string {
  return role === "admin" ? "/admin" : "/intern";
 }
 export default function LoginPage() {
  const router = useRouter();
  const dict = useDict();
  const [email, setEmail] = useState("");
  const [password, setPassword] = useState("");
  const [error, setError] = useState<string | null>(null);
  const [busy, setBusy] = useState(false);
  async function signInWithPassword(e: React.FormEvent) {
    e.preventDefault();
    setError(null);
    setBusy(true);
    const res = await fetch("/api/auth/login", {
      method: "POST",
      headers: { "Content-Type": "application/json" },
      body: JSON.stringify({ email, password }),
    });
    const data = await res.json().catch(() => ({}));
    if (!res.ok) {
      setError(authErrorMessage(dict, data.error ?? "unknown"));
      setBusy(false);
      return;
    }
    router.replace(redirectPath(data.role));
    router.refresh();
  }
  async function signInWithPasskey() {
    setError(null);
    setBusy(true);
    try {
      const optionsRes = await fetch("/api/auth/passkeys/login-options", { method: "POST" });
      const options = await optionsRes.json();
      const response = await startAuthentication({ optionsJSON: options });
      const verifyRes = await fetch("/api/auth/passkeys/login-verify", {
        method: "POST",
        headers: { "Content-Type": "application/json" },
        body: JSON.stringify({ response }),
      });
      const data = await verifyRes.json().catch(() => ({}));
      if (!verifyRes.ok) {
        setError(authErrorMessage(dict, data.error ?? "unknown"));
        setBusy(false);
        return;
      }
      router.replace(redirectPath(data.role));
      router.refresh();
    } catch (err) {
      setError(authErrorMessage(dict, err instanceof Error ? err.message : String(err)));
      setBusy(false);
    }
  }
  return (
    <div className="flex-1 flex items-center justify-center p-4">
      <div className="card w-full max-w-sm">
        <div className="flex justify-between items-center mb-4">
          <h1 className="text-xl font-bold text-[var(--c-primary)]">
            {dict.login.title}
          </h1>
          <LanguageSwitcher variant="light" />
        </div>
        <form onSubmit={signInWithPassword} className="space-y-3">
          <div>
            <label className="label" htmlFor="email">
              {dict.common.email}
            </label>
            <input
              id="email"
              type="email"
              className="input"
              value={email}
              onChange={(e) => setEmail(e.target.value)}
              autoComplete="username webauthn"
              required
            />
          </div>
          <div>
            <label className="label" htmlFor="password">
              {dict.common.password}
            </label>
            <input
              id="password"
              type="password"
              className="input"
              value={password}
              onChange={(e) => setPassword(e.target.value)}
              autoComplete="current-password"
              required
            />
          </div>
          {error && <p className="text-sm text-[var(--c-del)]">{error}</p>}
          <button type="submit" className="btn btn-primary w-full" disabled={busy}>
            {dict.login.submit}
          </button>
        </form>
        <div className="my-4 flex items-center gap-3 text-xs text-gray-400">
          <span className="h-px flex-1 bg-gray-200" />
          {dict.login.or}
          <span className="h-px flex-1 bg-gray-200" />
        </div>
        <button
          type="button"
          onClick={signInWithPasskey}
          className="btn btn-neutral w-full"
          disabled={busy}
        >
          {dict.login.passkeyButton}
        </button>
        <p className="mt-4 text-center text-sm">
          <Link href="/" className="text-gray-500 hover:text-[var(--c-primary)]">
            {dict.login.backToMenu}
          </Link>
        </p>
      </div>
    </div>
  );
 }
@@ -42,6 +42,7 @@ export default async function Home({
  ]);
  const logo = logoUrl(settings?.logo_path);
  const labelingDetailed = (settings?.labeling_mode ?? "detailed") !== "notice";
  return (
    <div className="flex-1 px-4 py-6 max-w-[1600px] mx-auto w-full">
@@ -56,6 +57,25 @@ export default async function Home({
          <div className="hidden sm:block">
            <LanguageSwitcher variant="light" />
          </div>
          <a
            href="/feed.xml"
            title={dict.publicMenu.rssFeed}
            aria-label={dict.publicMenu.rssFeed}
            className="text-gray-400 hover:text-[#ee802f]"
          >
            <svg
              xmlns="http://www.w3.org/2000/svg"
              viewBox="0 0 24 24"
              width="18"
              height="18"
              fill="currentColor"
              aria-hidden="true"
            >
              <circle cx="5.5" cy="18.5" r="2.5" />
              <path d="M4 11a9 9 0 0 1 9 9h-3a6 6 0 0 0-6-6v-3z" />
              <path d="M4 4a16 16 0 0 1 16 16h-3A13 13 0 0 0 4 7V4z" />
            </svg>
          </a>
          <Link
            href="/login"
            className="text-sm text-gray-500 hover:text-[var(--c-primary)]"
@@ -80,7 +100,12 @@ export default async function Home({
      </header>
      {/* Mobil: Tag (Standard) oder Woche umschaltbar */}
-      <PublicMobileMenu monday={monday} sections={sections} entries={entries} />
+      <PublicMobileMenu
        monday={monday}
        sections={sections}
        entries={entries}
        showLabeling={labelingDetailed}
      />
      {/* Ab "sm": klassische Wochentabelle */}
      <div className="hidden sm:block">
@@ -129,7 +154,9 @@ export default async function Home({
                            <span className="font-bold">
                              {localized(e.dish, locale)}
                            </span>
-                            {codes && <sup className="dish-codes">{codes}</sup>}
+                            {labelingDetailed && codes && (
                              <sup className="dish-codes">{codes}</sup>
                            )}
                            {" – "}
                            {formatPrice(e.dish.price)}
                          </div>
@@ -144,7 +171,9 @@ export default async function Home({
        </div>
      </div>
-      {/* Allergene & Zusatzstoffe: Legende zu den Kürzeln bei den Gerichten */}
+      {/* Allergene & Zusatzstoffe: entweder Legende zu den Kürzeln bei den
          Gerichten, oder – falls im Hinweismodus – nur ein Hinweistext. */}
      {labelingDetailed ? (
        <section className="mt-8 grid gap-6 sm:grid-cols-2 text-sm text-gray-700">
          <div>
            <h2 className="font-bold text-[var(--c-primary)] mb-2">
@@ -173,6 +202,25 @@ export default async function Home({
            </ul>
          </div>
        </section>
      ) : (
        settings && (
          <section className="mt-8 text-sm text-gray-700">
            <h2 className="font-bold text-[var(--c-primary)] mb-2">
              {dict.publicMenu.labelingNoticeTitle}
            </h2>
            <p>
              {localized(
                {
                  name: settings.labeling_notice,
                  name_en: settings.labeling_notice_en,
                  name_pl: settings.labeling_notice_pl,
                },
                locale
              )}
            </p>
          </section>
        )
      )}
    </div>
  );
 }
@@ -7,7 +7,9 @@
 import Link from "next/link";
 import { usePathname } from "next/navigation";
 import { useEffect, useState } from "react";
 import type { Role } from "@/lib/types";
 import { formatMessage } from "@/lib/i18n/shared";
 import { useDict } from "@/components/i18n/LocaleProvider";
 import LanguageSwitcher from "@/components/i18n/LanguageSwitcher";
@@ -20,6 +22,14 @@ export default function AppHeader({
 }) {
  const pathname = usePathname();
  const dict = useDict();
  const [suggestionCount, setSuggestionCount] = useState(0);
  useEffect(() => {
    fetch("/api/dish-suggestions")
      .then((res) => (res.ok ? res.json() : []))
      .then((data) => setSuggestionCount(Array.isArray(data) ? data.length : 0))
      .catch(() => {});
  }, [pathname]);
  const menuLinks = [
    { href: "/intern", label: dict.header.weekPlan },
@@ -51,8 +61,18 @@ export default function AppHeader({
            {dict.header.menuGroup}
          </span>
          {menuLinks.map((l) => (
-            <Link key={l.href} href={l.href} className={linkClass(l.href)}>
+            <Link key={l.href} href={l.href} className={`relative ${linkClass(l.href)}`}>
              {l.label}
              {l.href === "/intern/vorschlaege" && suggestionCount > 0 && (
                <span
                  className="absolute -top-1.5 -right-1.5 flex h-4 min-w-4 items-center justify-center rounded-full bg-[var(--c-del)] px-1 text-[10px] font-bold leading-none text-white"
                  aria-label={formatMessage(dict.header.openSuggestions, {
                    count: suggestionCount,
                  })}
                >
                  {suggestionCount}
                </span>
              )}
            </Link>
          ))}
        </nav>
@@ -34,6 +34,8 @@ export default function CodeListManager({
    namePl: string;
  } | null>(null);
  const [error, setError] = useState<string | null>(null);
  const [notice, setNotice] = useState<string | null>(null);
  const [ioBusy, setIoBusy] = useState(false);
  const [translateState, setTranslateState] = useState<"idle" | "busy" | "done">(
    "idle"
  );
@@ -125,12 +127,77 @@ export default function CodeListManager({
    }
  }
  async function exportItems() {
    setError(null);
    setNotice(null);
    const res = await fetch(`/api/${table}/export`);
    if (!res.ok) {
      setError(formatMessage(dict.codeList.exportError, { message: String(res.status) }));
      return;
    }
    const blob = await res.blob();
    const url = URL.createObjectURL(blob);
    const a = document.createElement("a");
    a.href = url;
    a.download = table === "allergens" ? "allergene.csv" : "zusatzstoffe.csv";
    a.click();
    URL.revokeObjectURL(url);
  }
  async function importItems(e: React.ChangeEvent<HTMLInputElement>) {
    const file = e.target.files?.[0];
    e.target.value = "";
    if (!file) return;
    setError(null);
    setNotice(null);
    setIoBusy(true);
    const fd = new FormData();
    fd.append("file", file);
    const res = await fetch(`/api/${table}/import`, { method: "POST", body: fd });
    setIoBusy(false);
    if (!res.ok) {
      setError(formatMessage(dict.codeList.importError, { message: String(res.status) }));
      return;
    }
    const data = (await res.json()) as {
      created: number;
      updated: number;
      skipped: { row: number; reason: string }[];
    };
    let msg = formatMessage(dict.codeList.importSuccess, {
      created: data.created,
      updated: data.updated,
    });
    if (data.skipped.length > 0) {
      const reasons = data.skipped
        .map((s) => formatMessage(dict.codeList.importSkippedRow, s))
        .join("; ");
      msg +=
        " " + formatMessage(dict.codeList.importSkipped, { count: data.skipped.length, reasons });
    }
    setNotice(msg);
    await load();
  }
  return (
    <section className="card">
      <div className="flex items-center gap-3 mb-3">
        <h2 className="text-lg font-bold text-[var(--c-primary)] mr-auto">
          {title}
        </h2>
        <button type="button" className="btn btn-neutral" onClick={exportItems}>
          {dict.codeList.exportButton}
        </button>
        <label className="btn btn-neutral cursor-pointer">
          {dict.codeList.importButton}
          <input
            type="file"
            accept=".csv,text/csv"
            className="hidden"
            onChange={importItems}
            disabled={ioBusy}
          />
        </label>
        <button
          type="button"
          className="btn btn-add"
@@ -148,6 +215,7 @@ export default function CodeListManager({
          {error}
        </p>
      )}
      {notice && <p className="mb-2 text-sm text-green-700">{notice}</p>}
      {editing && (
        <form onSubmit={save} className="mb-3 space-y-2 border-b border-gray-200 pb-3">
@@ -40,10 +40,13 @@ export default function DishManager({
  const [additives, setAdditives] = useState<CodeItem[]>([]);
  const [form, setForm] = useState<DishForm | null>(null);
  const [error, setError] = useState<string | null>(null);
  const [notice, setNotice] = useState<string | null>(null);
  const [ioBusy, setIoBusy] = useState(false);
  const [loading, setLoading] = useState(true);
  const [selected, setSelected] = useState<Set<string>>(new Set());
  const [bulkBusy, setBulkBusy] = useState(false);
  const [search, setSearch] = useState("");
  const [labelingDetailed, setLabelingDetailed] = useState(true);
  const [translateState, setTranslateState] = useState<"idle" | "busy" | "done">(
    "idle"
  );
@@ -55,10 +58,11 @@ export default function DishManager({
  }, [dishes, search]);
  const load = useCallback(async () => {
-    const [dishesRes, allergensRes, additivesRes] = await Promise.all([
+    const [dishesRes, allergensRes, additivesRes, settingsRes] = await Promise.all([
      fetch("/api/dishes"),
      fetch("/api/allergens"),
      fetch("/api/additives"),
      fetch("/api/settings"),
    ]);
    if (!dishesRes.ok || !allergensRes.ok || !additivesRes.ok) {
      setError(formatMessage(dict.dishManager.loadError, { message: "load failed" }));
@@ -67,6 +71,10 @@ export default function DishManager({
      setAllergens(await allergensRes.json());
      setAdditives(await additivesRes.json());
    }
    if (settingsRes.ok) {
      const settings = await settingsRes.json();
      setLabelingDetailed((settings?.labeling_mode ?? "detailed") !== "notice");
    }
    setLoading(false);
  }, [dict]);
@@ -219,6 +227,58 @@ export default function DishManager({
    }
  }
  async function exportDishes() {
    setError(null);
    setNotice(null);
    const res = await fetch("/api/dishes/export");
    if (!res.ok) {
      setError(formatMessage(dict.dishManager.exportError, { message: String(res.status) }));
      return;
    }
    const blob = await res.blob();
    const url = URL.createObjectURL(blob);
    const a = document.createElement("a");
    a.href = url;
    a.download = "gerichte.csv";
    a.click();
    URL.revokeObjectURL(url);
  }
  async function importDishes(e: React.ChangeEvent<HTMLInputElement>) {
    const file = e.target.files?.[0];
    e.target.value = "";
    if (!file) return;
    setError(null);
    setNotice(null);
    setIoBusy(true);
    const fd = new FormData();
    fd.append("file", file);
    const res = await fetch("/api/dishes/import", { method: "POST", body: fd });
    setIoBusy(false);
    if (!res.ok) {
      setError(formatMessage(dict.dishManager.importError, { message: String(res.status) }));
      return;
    }
    const data = (await res.json()) as {
      created: number;
      updated: number;
      skipped: { row: number; reason: string }[];
    };
    let msg = formatMessage(dict.dishManager.importSuccess, {
      created: data.created,
      updated: data.updated,
    });
    if (data.skipped.length > 0) {
      const reasons = data.skipped
        .map((s) => formatMessage(dict.dishManager.importSkippedRow, s))
        .join("; ");
      msg +=
        " " + formatMessage(dict.dishManager.importSkipped, { count: data.skipped.length, reasons });
    }
    setNotice(msg);
    await load();
  }
  const allSelected =
    visible.length > 0 && visible.every((d) => selected.has(d.id));
@@ -228,6 +288,19 @@ export default function DishManager({
        <h1 className="text-xl font-bold text-[var(--c-primary)] mr-auto">
          {dict.dishManager.title}
        </h1>
        <button type="button" className="btn btn-neutral" onClick={exportDishes}>
          {dict.dishManager.exportButton}
        </button>
        <label className="btn btn-neutral cursor-pointer">
          {dict.dishManager.importButton}
          <input
            type="file"
            accept=".csv,text/csv"
            className="hidden"
            onChange={importDishes}
            disabled={ioBusy}
          />
        </label>
        <button
          type="button"
          className="btn btn-add"
@@ -245,6 +318,7 @@ export default function DishManager({
          {error}
        </p>
      )}
      {notice && <p className="mb-3 text-sm text-green-700">{notice}</p>}
      {form && (
        <form onSubmit={save} className="card mb-4 space-y-4">
@@ -322,6 +396,8 @@ export default function DishManager({
            </div>
          )}
          {labelingDetailed ? (
            <>
              <ChipPicker
                label={dict.codeList.allergensTitle}
                items={allergens}
@@ -334,6 +410,10 @@ export default function DishManager({
                selected={form.additives}
                onToggle={toggleAdditive}
              />
            </>
          ) : (
            <p className="text-sm text-gray-500">{dict.dishManager.labelingDisabledHint}</p>
          )}
          <div className="flex gap-2">
            <button type="submit" className="btn btn-add">
              {dict.common.save}
@@ -0,0 +1,142 @@
 "use client";
 // Umschaltung zwischen der detaillierten Allergen-/Zusatzstoff-Auswahl
 // je Gericht und einem einfachen, editierbaren Hinweistext.
 import { useCallback, useEffect, useState } from "react";
 import { formatMessage } from "@/lib/i18n/shared";
 import { useDict } from "@/components/i18n/LocaleProvider";
 import type { LabelingMode } from "@/lib/db/settings";
 export default function LabelingNoticeEditor() {
  const dict = useDict();
  const [mode, setMode] = useState<LabelingMode>("detailed");
  const [noticeDe, setNoticeDe] = useState("");
  const [noticeEn, setNoticeEn] = useState("");
  const [noticePl, setNoticePl] = useState("");
  const [loading, setLoading] = useState(true);
  const [busy, setBusy] = useState(false);
  const [error, setError] = useState<string | null>(null);
  const [info, setInfo] = useState<string | null>(null);
  const load = useCallback(async () => {
    const res = await fetch("/api/settings");
    if (!res.ok) {
      setError(formatMessage(dict.labelingNotice.loadError, { message: String(res.status) }));
      setLoading(false);
      return;
    }
    const data = await res.json();
    setMode(data.labeling_mode ?? "detailed");
    setNoticeDe(data.labeling_notice ?? "");
    setNoticeEn(data.labeling_notice_en ?? "");
    setNoticePl(data.labeling_notice_pl ?? "");
    setLoading(false);
  }, [dict]);
  useEffect(() => {
    load();
  }, [load]);
  async function save() {
    setBusy(true);
    setError(null);
    setInfo(null);
    const res = await fetch("/api/settings", {
      method: "PATCH",
      headers: { "Content-Type": "application/json" },
      body: JSON.stringify({
        labeling_mode: mode,
        labeling_notice: noticeDe.trim(),
        labeling_notice_en: noticeEn.trim() || null,
        labeling_notice_pl: noticePl.trim() || null,
      }),
    });
    setBusy(false);
    if (!res.ok) {
      setError(formatMessage(dict.labelingNotice.saveError, { message: String(res.status) }));
      return;
    }
    setInfo(dict.labelingNotice.saved);
  }
  if (loading) return null;
  return (
    <section className="card">
      <h2 className="font-semibold mb-2">{dict.labelingNotice.title}</h2>
      <p className="text-sm text-gray-600 mb-3">{dict.labelingNotice.hint}</p>
      {error && (
        <p className="mb-3 text-sm text-[var(--c-del)]" role="alert">
          {error}
        </p>
      )}
      {info && <p className="mb-3 text-sm text-green-700">{info}</p>}
      <div className="flex flex-col gap-2 mb-4">
        <label className="flex items-center gap-2 cursor-pointer">
          <input
            type="radio"
            name="labeling-mode"
            checked={mode === "detailed"}
            onChange={() => setMode("detailed")}
          />
          {dict.labelingNotice.modeDetailed}
        </label>
        <label className="flex items-center gap-2 cursor-pointer">
          <input
            type="radio"
            name="labeling-mode"
            checked={mode === "notice"}
            onChange={() => setMode("notice")}
          />
          {dict.labelingNotice.modeNotice}
        </label>
      </div>
      <div className="space-y-3 mb-4">
        <div>
          <label className="label" htmlFor="labeling-notice-de">
            {dict.labelingNotice.noticeDeLabel}
          </label>
          <textarea
            id="labeling-notice-de"
            className="input"
            rows={2}
            value={noticeDe}
            onChange={(e) => setNoticeDe(e.target.value)}
          />
        </div>
        <div>
          <label className="label" htmlFor="labeling-notice-en">
            {dict.labelingNotice.noticeEnLabel}
          </label>
          <textarea
            id="labeling-notice-en"
            className="input"
            rows={2}
            value={noticeEn}
            onChange={(e) => setNoticeEn(e.target.value)}
          />
        </div>
        <div>
          <label className="label" htmlFor="labeling-notice-pl">
            {dict.labelingNotice.noticePlLabel}
          </label>
          <textarea
            id="labeling-notice-pl"
            className="input"
            rows={2}
            value={noticePl}
            onChange={(e) => setNoticePl(e.target.value)}
          />
        </div>
      </div>
      <button type="button" className="btn btn-add" onClick={save} disabled={busy}>
        {dict.labelingNotice.save}
      </button>
    </section>
  );
 }
@@ -0,0 +1,162 @@
 "use client";
 import { useState } from "react";
 import { useRouter } from "next/navigation";
 import Link from "next/link";
 import { startAuthentication } from "@simplewebauthn/browser";
 import { formatMessage } from "@/lib/i18n/shared";
 import { useDict } from "@/components/i18n/LocaleProvider";
 import LanguageSwitcher from "@/components/i18n/LanguageSwitcher";
 import type { Dict } from "@/lib/i18n/shared";
 function authErrorMessage(dict: Dict, code: string): string {
  if (code === "invalid_credentials") return dict.login.errorInvalidCredentials;
  if (code === "password_disabled") return dict.login.errorPasswordDisabled;
  if (code === "oidc_invalid_state") return dict.login.errorOidcInvalidState;
  if (code === "oidc_unknown_user") return dict.login.errorOidcUnknownUser;
  if (code === "oidc_failed") return dict.login.errorOidcFailed;
  if (/cancelled|aborted|NotAllowedError/i.test(code))
    return dict.login.errorPasskeyCancelled;
  return formatMessage(dict.login.errorGeneric, { message: code });
 }
 function redirectPath(role: string): string {
  return role === "admin" ? "/admin" : "/intern";
 }
 export default function LoginForm({
  oidcEnabled,
  initialError,
 }: {
  oidcEnabled: boolean;
  initialError: string | null;
 }) {
  const router = useRouter();
  const dict = useDict();
  const [email, setEmail] = useState("");
  const [password, setPassword] = useState("");
  const [error, setError] = useState<string | null>(() =>
    initialError ? authErrorMessage(dict, initialError) : null
  );
  const [busy, setBusy] = useState(false);
  async function signInWithPassword(e: React.FormEvent) {
    e.preventDefault();
    setError(null);
    setBusy(true);
    const res = await fetch("/api/auth/login", {
      method: "POST",
      headers: { "Content-Type": "application/json" },
      body: JSON.stringify({ email, password }),
    });
    const data = await res.json().catch(() => ({}));
    if (!res.ok) {
      setError(authErrorMessage(dict, data.error ?? "unknown"));
      setBusy(false);
      return;
    }
    router.replace(redirectPath(data.role));
    router.refresh();
  }
  async function signInWithPasskey() {
    setError(null);
    setBusy(true);
    try {
      const optionsRes = await fetch("/api/auth/passkeys/login-options", { method: "POST" });
      const options = await optionsRes.json();
      const response = await startAuthentication({ optionsJSON: options });
      const verifyRes = await fetch("/api/auth/passkeys/login-verify", {
        method: "POST",
        headers: { "Content-Type": "application/json" },
        body: JSON.stringify({ response }),
      });
      const data = await verifyRes.json().catch(() => ({}));
      if (!verifyRes.ok) {
        setError(authErrorMessage(dict, data.error ?? "unknown"));
        setBusy(false);
        return;
      }
      router.replace(redirectPath(data.role));
      router.refresh();
    } catch (err) {
      setError(authErrorMessage(dict, err instanceof Error ? err.message : String(err)));
      setBusy(false);
    }
  }
  return (
    <div className="flex-1 flex items-center justify-center p-4">
      <div className="card w-full max-w-sm">
        <div className="flex justify-between items-center mb-4">
          <h1 className="text-xl font-bold text-[var(--c-primary)]">
            {dict.login.title}
          </h1>
          <LanguageSwitcher variant="light" />
        </div>
        <form onSubmit={signInWithPassword} className="space-y-3">
          <div>
            <label className="label" htmlFor="email">
              {dict.common.email}
            </label>
            <input
              id="email"
              type="email"
              className="input"
              value={email}
              onChange={(e) => setEmail(e.target.value)}
              autoComplete="username webauthn"
              required
            />
          </div>
          <div>
            <label className="label" htmlFor="password">
              {dict.common.password}
            </label>
            <input
              id="password"
              type="password"
              className="input"
              value={password}
              onChange={(e) => setPassword(e.target.value)}
              autoComplete="current-password"
              required
            />
          </div>
          {error && <p className="text-sm text-[var(--c-del)]">{error}</p>}
          <button type="submit" className="btn btn-primary w-full" disabled={busy}>
            {dict.login.submit}
          </button>
        </form>
        <div className="my-4 flex items-center gap-3 text-xs text-gray-400">
          <span className="h-px flex-1 bg-gray-200" />
          {dict.login.or}
          <span className="h-px flex-1 bg-gray-200" />
        </div>
        <button
          type="button"
          onClick={signInWithPasskey}
          className="btn btn-neutral w-full"
          disabled={busy}
        >
          {dict.login.passkeyButton}
        </button>
        {oidcEnabled && (
          <a href="/api/auth/oidc/login" className="btn btn-neutral w-full mt-2">
            {dict.login.ssoButton}
          </a>
        )}
        <p className="mt-4 text-center text-sm">
          <Link href="/" className="text-gray-500 hover:text-[var(--c-primary)]">
            {dict.login.backToMenu}
          </Link>
        </p>
      </div>
    </div>
  );
 }
@@ -27,10 +27,12 @@ export default function PublicMobileMenu({
  monday,
  sections,
  entries,
  showLabeling,
 }: {
  monday: string;
  sections: Section[];
  entries: MenuEntry[];
  showLabeling: boolean;
 }) {
  const router = useRouter();
  const dict = useDict();
@@ -86,7 +88,9 @@ export default function PublicMobileMenu({
                          <span className="font-semibold">
                            {localized(e.dish, locale)}
                          </span>
-                          {codes && <sup className="dish-codes">{codes}</sup>}{" "}
+                          {showLabeling && codes && (
                            <sup className="dish-codes">{codes}</sup>
                          )}{" "}
                          – {formatPrice(e.dish.price)}
                        </p>
                      );
@@ -1,5 +1,5 @@
 -- =============================================================
-- Canteen Menu – Initiales Schema (selbst gehostet, ohne Supabase)
+-- Canteen Menu – Initiales Schema (vollständig selbst gehostet)
 -- Rollen: admin (Benutzerverwaltung, Branding) / staff (Kantine)
 -- Öffentliche Speisekarte: lesbar ohne Login
 -- =============================================================
@@ -27,8 +27,8 @@ create table sessions (
 );
 create index sessions_user_id_idx on sessions (user_id);
-- WebAuthn-Credentials (ersetzt Supabase's internes, für die App bisher
+-- WebAuthn-Credentials (Passkeys) – eigenes Schema, wird von
-- unsichtbares Passkey-Schema).
+-- @simplewebauthn/server geprüft (lib/auth/).
 create table passkey_credentials (
  id             uuid primary key default gen_random_uuid(),
  user_id        uuid not null references users (id) on delete cascade,
@@ -0,0 +1,11 @@
 -- Umschaltbare Anzeige der Allergene/Zusatzstoffe: entweder die
 -- detaillierte Auswahl je Gericht (bisheriges Verhalten) oder
 -- stattdessen nur ein von Personal/Admin editierbarer Hinweistext
 -- (z. B. "Bei Fragen bitte das Kantinen-Team fragen").
 alter table settings
  add column labeling_mode text not null default 'detailed'
    check (labeling_mode in ('detailed', 'notice')),
  add column labeling_notice text not null default
    'Bei Fragen zu Allergenen und Zusatzstoffen wenden Sie sich bitte an das Kantinen-Team.',
  add column labeling_notice_en text,
  add column labeling_notice_pl text;
@@ -0,0 +1,12 @@
 -- Kurzlebiger, einmalig verwendbarer State-Store für den OpenID-Connect-
 -- Login (SSO, z. B. gegen Authentik). Analog zu webauthn_challenges:
 -- der "state"-Wert selbst ist die CSRF-Absicherung für den Callback
 -- (der Callback ist ein Cross-Origin-GET vom Identity Provider, der
 -- normale isSameOrigin()-Check greift dort nicht).
 create table oidc_states (
  state         text primary key,
  nonce         text not null,
  code_verifier text not null,
  expires_at    timestamptz not null,
  created_at    timestamptz not null default now()
 );
@@ -34,6 +34,19 @@ services:
      # (Essenszeiten, Kürzel-Erklärungen) nach Englisch/Polnisch. Ohne Key
      # bleibt "Automatisch übersetzen" inaktiv, manuelle Eingabe geht immer.
      DEEPL_API_KEY: ${DEEPL_API_KEY:-}
      # Optional: SSO-Login per OpenID Connect (z. B. Authentik). Ohne
      # diese drei Werte bleibt der SSO-Button ausgeblendet. Funktioniert
      # nur für bereits angelegte Benutzer (Abgleich per E-Mail), legt nie
      # neue Konten an.
      OIDC_ISSUER: ${OIDC_ISSUER:-}
      OIDC_CLIENT_ID: ${OIDC_CLIENT_ID:-}
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET:-}
      # Muss auf das "volumes:"-Ziel unten UND das im Dockerfile per
      # "mkdir/chown" vorbereitete Verzeichnis zeigen – ohne diese
      # Variable würde lib/branding.ts auf ${PWD}/data/branding
      # zurückfallen, das weder gemountet noch für den nicht-root
      # App-Nutzer beschreibbar ist (Upload schlägt mit 500 fehl).
      BRANDING_DIR: /data/branding
    ports:
      - "0.0.0.0:3000:3000"
    volumes:
@@ -50,10 +63,10 @@ services:
    environment:
      POSTGRES_DB: canteen_menu
      POSTGRES_PASSWORD: ${LOCAL_PG_PASSWORD:-canteen_menu}
-    ports:
+    # Bewusst kein "ports:"-Mapping: die Datenbank ist nur innerhalb des
-      # Host-Port 5433, da 5432 meist schon von einer nativen
+    # Compose-Netzwerks unter "db:5432" erreichbar (für app/dev), nicht
-      # PostgreSQL-Installation belegt ist.
+    # vom Host oder von außen. Zugriff für Debugging/Backups über
-      - "5433:5432"
+    # "docker compose exec db psql -U postgres canteen_menu".
    volumes:
      - pgdata:/var/lib/postgresql/data
    restart: unless-stopped
@@ -71,6 +84,9 @@ services:
      SITE_TITLE: ${SITE_TITLE:-Canteen Menu}
      ADMIN_EMAIL: ${ADMIN_EMAIL:-}
      DEEPL_API_KEY: ${DEEPL_API_KEY:-}
      OIDC_ISSUER: ${OIDC_ISSUER:-}
      OIDC_CLIENT_ID: ${OIDC_CLIENT_ID:-}
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET:-}
    ports:
      - "0.0.0.0:3000:3000"
    volumes:
@@ -0,0 +1,99 @@
 import "server-only";
 import { createRemoteJWKSet, jwtVerify, type JWTPayload } from "jose";
 import { clientId, clientSecret, issuer, redirectUri } from "./oidc-config";
 export interface OidcDiscovery {
  authorization_endpoint: string;
  token_endpoint: string;
  jwks_uri: string;
  userinfo_endpoint?: string;
 }
 // Kein Caching des Discovery-Dokuments: Login ist bei ~250 Mitarbeitern
 // kein Hot Path, ein zusätzlicher HTTPS-Request pro Anmeldeversuch
 // fällt nicht ins Gewicht – vermeidet Cache-Invalidierungslogik ohne
 // echten Bedarf.
 export async function discover(): Promise<OidcDiscovery> {
  const res = await fetch(`${issuer().replace(/\/$/, "")}/.well-known/openid-configuration`);
  if (!res.ok) throw new Error(`oidc_discovery_failed_${res.status}`);
  return (await res.json()) as OidcDiscovery;
 }
 export function buildAuthorizeUrl(
  discovery: OidcDiscovery,
  params: { state: string; nonce: string; codeChallenge: string }
 ): string {
  const url = new URL(discovery.authorization_endpoint);
  url.searchParams.set("response_type", "code");
  url.searchParams.set("client_id", clientId());
  url.searchParams.set("redirect_uri", redirectUri());
  url.searchParams.set("scope", "openid email profile");
  url.searchParams.set("state", params.state);
  url.searchParams.set("nonce", params.nonce);
  url.searchParams.set("code_challenge", params.codeChallenge);
  url.searchParams.set("code_challenge_method", "S256");
  return url.toString();
 }
 export async function exchangeCode(
  discovery: OidcDiscovery,
  code: string,
  codeVerifier: string
 ): Promise<{ idToken: string; accessToken: string | null }> {
  const body = new URLSearchParams({
    grant_type: "authorization_code",
    client_id: clientId(),
    client_secret: clientSecret(),
    redirect_uri: redirectUri(),
    code,
    code_verifier: codeVerifier,
  });
  const res = await fetch(discovery.token_endpoint, {
    method: "POST",
    headers: { "Content-Type": "application/x-www-form-urlencoded" },
    body,
  });
  if (!res.ok) throw new Error(`oidc_token_exchange_failed_${res.status}`);
  const data = (await res.json()) as { id_token?: string; access_token?: string };
  if (!data.id_token) throw new Error("oidc_missing_id_token");
  return { idToken: data.id_token, accessToken: data.access_token ?? null };
 }
 // Algorithmus bewusst auf RS256 festgenagelt (Authentik-Standard) statt
 // dem Token zu vertrauen, welchen Algorithmus es selbst behauptet zu
 // nutzen ("algorithm confusion"-Angriffsklasse bei JWTs).
 export async function verifyIdToken(
  discovery: OidcDiscovery,
  idToken: string,
  expectedNonce: string
 ): Promise<JWTPayload> {
  const jwks = createRemoteJWKSet(new URL(discovery.jwks_uri));
  const { payload } = await jwtVerify(idToken, jwks, {
    issuer: issuer(),
    audience: clientId(),
    algorithms: ["RS256"],
  });
  if (payload.nonce !== expectedNonce) {
    throw new Error("oidc_nonce_mismatch");
  }
  if (payload.email_verified === false) {
    throw new Error("oidc_email_not_verified");
  }
  return payload;
 }
 /** E-Mail bevorzugt aus dem ID-Token, sonst Fallback auf den Userinfo-Endpoint. */
 export async function resolveEmail(
  discovery: OidcDiscovery,
  payload: JWTPayload,
  accessToken: string | null
 ): Promise<string | null> {
  if (typeof payload.email === "string" && payload.email) return payload.email;
  if (!accessToken || !discovery.userinfo_endpoint) return null;
  const res = await fetch(discovery.userinfo_endpoint, {
    headers: { Authorization: `Bearer ${accessToken}` },
  });
  if (!res.ok) return null;
  const info = (await res.json()) as { email?: string };
  return typeof info.email === "string" && info.email ? info.email : null;
 }
@@ -0,0 +1,35 @@
 import "server-only";
 // SSO-Konfiguration wird direkt aus Env-Vars abgeleitet – kein
 // Cloud-Konfigurationsschritt, analog zu lib/auth/webauthn-config.ts.
 // "Aktiviert" ergibt sich implizit aus dem Vorhandensein der drei
 // Pflicht-Vars (wie bei DEEPL_API_KEY), kein separates Enable-Flag.
 export function isConfigured(): boolean {
  return !!(
    process.env.OIDC_ISSUER &&
    process.env.OIDC_CLIENT_ID &&
    process.env.OIDC_CLIENT_SECRET
  );
 }
 export function issuer(): string {
  return process.env.OIDC_ISSUER!;
 }
 export function clientId(): string {
  return process.env.OIDC_CLIENT_ID!;
 }
 export function clientSecret(): string {
  return process.env.OIDC_CLIENT_SECRET!;
 }
 // Bewusst aus APP_URL abgeleitet statt aus Request-Headern (wie z. B.
 // proxy.ts es für den Login-Redirect tut): der Wert muss exakt mit der
 // beim Identity Provider hinterlegten Redirect-URI übereinstimmen,
 // darf sich also nicht je nach eingehendem Host-Header ändern.
 export function redirectUri(): string {
  const appUrl = new URL(process.env.APP_URL ?? "http://localhost:3000");
  return `${appUrl.origin}/api/auth/oidc/callback`;
 }
@@ -0,0 +1,31 @@
 import "server-only";
 import { query, queryOne } from "@/lib/db";
 const STATE_TTL_MS = 10 * 60 * 1000;
 export async function storeState(
  state: string,
  nonce: string,
  codeVerifier: string
 ): Promise<void> {
  // Kein Cron nötig: abgelaufene Zeilen bei jedem neuen State gleich
  // mit aufräumen (wie bei webauthn_challenges).
  await query("delete from oidc_states where expires_at < now()");
  await query(
    "insert into oidc_states (state, nonce, code_verifier, expires_at) values ($1, $2, $3, $4)",
    [state, nonce, codeVerifier, new Date(Date.now() + STATE_TTL_MS)]
  );
 }
 /** Einmalig verwendbar: die Zeile wird beim Abruf sofort gelöscht. */
 export async function consumeState(
  state: string
 ): Promise<{ nonce: string; codeVerifier: string } | null> {
  const row = await queryOne<{ nonce: string; code_verifier: string }>(
    `delete from oidc_states
     where state = $1 and expires_at > now()
     returning nonce, code_verifier`,
    [state]
  );
  return row ? { nonce: row.nonce, codeVerifier: row.code_verifier } : null;
 }
@@ -1,9 +1,7 @@
 import "server-only";
-// RP-Konfiguration wird direkt aus APP_URL/SITE_TITLE abgeleitet – kein
+// RP-Konfiguration wird direkt aus APP_URL/SITE_TITLE abgeleitet –
-// externer Konfigurationsschritt mehr nötig (ersetzt das bisherige
+// kein externer Konfigurationsschritt oder Cloud-API-Aufruf mehr nötig.
 // scripts/configure-passkeys.mjs, das die Supabase-Management-API
 // aufrief).
 function appUrl(): URL {
  return new URL(process.env.APP_URL ?? "http://localhost:3000");
 }
@@ -2,8 +2,8 @@ import "server-only";
 import { mkdir, readFile, unlink, writeFile } from "node:fs/promises";
 import path from "node:path";
-// Ersetzt den früheren Supabase-Storage-Bucket "branding" durch ein
+// Logo/Favicon liegen als Dateien in einem lokalen Verzeichnis
-// lokales Verzeichnis (Docker-Volume in Produktion, s. docker-compose.yml).
+// (Docker-Volume in Produktion, s. docker-compose.yml).
 export function brandingDir(): string {
  // turbopackIgnore: process.cwd() ist hier dynamisch, aber der Pfad
  // bleibt statisch unter "data/branding" – ohne den Kommentar versucht
@@ -0,0 +1,98 @@
 import "server-only";
 // Minimaler RFC-4180-artiger CSV-Parser/-Serializer für Import/Export der
 // Gerichte-/Allergen-/Zusatzstofflisten. Bewusst ohne npm-Abhängigkeit
 // (Projekt-Stil: kein ORM, keine Validierungs-Library, minimale Deps) –
 // deckt quoted Felder mit eingebetteten Kommas/Anführungszeichen/
 // Zeilenumbrüchen ab, da Gerichtsnamen Kommas enthalten können.
 export function parseCsv(text: string): string[][] {
  const rows: string[][] = [];
  let row: string[] = [];
  let field = "";
  let inQuotes = false;
  let i = 0;
  const len = text.length;
  function pushField() {
    row.push(field);
    field = "";
  }
  function pushRow() {
    pushField();
    rows.push(row);
    row = [];
  }
  while (i < len) {
    const c = text[i];
    if (inQuotes) {
      if (c === '"') {
        if (text[i + 1] === '"') {
          field += '"';
          i += 2;
          continue;
        }
        inQuotes = false;
        i++;
        continue;
      }
      field += c;
      i++;
      continue;
    }
    if (c === '"') {
      inQuotes = true;
      i++;
      continue;
    }
    if (c === ",") {
      pushField();
      i++;
      continue;
    }
    if (c === "\r") {
      i++;
      continue;
    }
    if (c === "\n") {
      pushRow();
      i++;
      continue;
    }
    field += c;
    i++;
  }
  // Letzte Zeile ohne abschließenden Zeilenumbruch noch anhängen.
  if (field !== "" || row.length > 0) pushRow();
  // Leere Zeilen überspringen (z. B. durch einen abschließenden Zeilenumbruch).
  return rows.filter((r) => !(r.length === 1 && r[0].trim() === ""));
 }
 function csvField(value: string): string {
  if (/[",\r\n]/.test(value)) {
    return `"${value.replace(/"/g, '""')}"`;
  }
  return value;
 }
 export function toCsv(rows: string[][]): string {
  return rows.map((row) => row.map(csvField).join(",")).join("\r\n") + "\r\n";
 }
 /** Kopfzeile in Kleinbuchstaben, damit der Import tolerant gegenüber Groß-/
 *  Kleinschreibung und Spaltenreihenfolge ist. */
 export function parseCsvWithHeader(text: string): { header: string[]; rows: string[][] } {
  const table = parseCsv(text);
  if (table.length === 0) return { header: [], rows: [] };
  const [header, ...rows] = table;
  return { header: header.map((h) => h.trim().toLowerCase()), rows };
 }
 /** Codes einer Zelle wie "A;G;2" in einzelne, getrimmte Kürzel zerlegen. */
 export function splitCodes(cell: string | undefined): string[] {
  return (cell ?? "")
    .split(";")
    .map((c) => c.trim())
    .filter(Boolean);
 }
@@ -1,5 +1,5 @@
 import "server-only";
-import { query, queryOne } from "@/lib/db";
+import { query, queryOne, withTransaction } from "@/lib/db";
 import type { CodeItem } from "@/lib/types";
 // "allergens"/"additives" sind identisch aufgebaute Tabellen (Kürzel +
@@ -39,3 +39,47 @@ export async function updateCode(
 export async function deleteCode(table: CodeTable, code: string): Promise<void> {
  await query(`delete from ${table} where code = $1`, [code]);
 }
 export interface CodeImportRow {
  code: string;
  name: string;
  name_en: string | null;
  name_pl: string | null;
 }
 /** CSV-Import: legt neue Kürzel an, bestehende (gleicher Code) werden
 *  aktualisiert – ein doppelter Code innerhalb derselben Datei
 *  aktualisiert also einfach zweimal statt einen Fehler zu werfen. */
 export async function importCodes(
  table: CodeTable,
  rows: CodeImportRow[]
 ): Promise<{ created: number; updated: number }> {
  return withTransaction(async (client) => {
    const existing = await client.query<{ code: string }>(`select code from ${table}`);
    const known = new Set(existing.rows.map((r) => r.code));
    const maxRow = await client.query<{ sort: number }>(
      `select coalesce(max(sort), 0) as sort from ${table}`
    );
    let nextSort = (maxRow.rows[0]?.sort ?? 0) + 1;
    let created = 0;
    let updated = 0;
    for (const row of rows) {
      if (known.has(row.code)) {
        await client.query(
          `update ${table} set name = $1, name_en = $2, name_pl = $3 where code = $4`,
          [row.name, row.name_en, row.name_pl, row.code]
        );
        updated++;
      } else {
        await client.query(
          `insert into ${table} (code, name, name_en, name_pl, sort) values ($1, $2, $3, $4, $5)`,
          [row.code, row.name, row.name_en, row.name_pl, nextSort++]
        );
        known.add(row.code);
        created++;
      }
    }
    return { created, updated };
  });
 }
@@ -1,14 +1,22 @@
 import "server-only";
 import { queryOne } from "@/lib/db";
 export type LabelingMode = "detailed" | "notice";
 export interface Settings {
  colors: Record<string, string>;
  logo_path: string | null;
  favicon_path: string | null;
  labeling_mode: LabelingMode;
  labeling_notice: string;
  labeling_notice_en: string | null;
  labeling_notice_pl: string | null;
 }
 export async function getSettings(): Promise<Settings | null> {
  return queryOne<Settings>(
-    "select colors, logo_path, favicon_path from settings where id = 1"
+    `select colors, logo_path, favicon_path, labeling_mode,
            labeling_notice, labeling_notice_en, labeling_notice_pl
     from settings where id = 1`
  );
 }
@@ -37,6 +37,7 @@ const de = {
    users: "Benutzer",
    design: "Design",
    suggestions: "Vorschläge",
    openSuggestions: "{count} offene Rezeptvorschläge",
    viewMenu: "Speisekarte ansehen",
    myAccount: "Mein Konto",
  },
@@ -45,12 +46,18 @@ const de = {
    submit: "Anmelden",
    or: "oder",
    passkeyButton: "Mit Passkey anmelden",
    ssoButton: "Mit Single Sign-On anmelden",
    backToMenu: "← Zur Speisekarte",
    errorInvalidCredentials: "E-Mail-Adresse oder Passwort ist falsch.",
    errorPasskeyCancelled: "Passkey-Anmeldung wurde abgebrochen.",
    errorGeneric: "Anmeldung fehlgeschlagen: {message}",
    errorPasswordDisabled:
      "Die Anmeldung mit Passwort ist für dieses Konto deaktiviert. Bitte mit Passkey anmelden.",
    errorOidcInvalidState:
      "Die SSO-Anmeldung ist abgelaufen oder ungültig. Bitte erneut versuchen.",
    errorOidcUnknownUser:
      "Für diese E-Mail-Adresse existiert kein Konto. Bitte an die Verwaltung wenden.",
    errorOidcFailed: "SSO-Anmeldung fehlgeschlagen. Bitte erneut versuchen.",
  },
  publicMenu: {
    prevWeek: "← Vorherige Woche",
@@ -62,8 +69,10 @@ const de = {
    weekTab: "Woche",
    allergens: "Allergene",
    additives: "Zusatzstoffe",
    labelingNoticeTitle: "Allergene & Zusatzstoffe",
    suggestDish: "Rezept vorschlagen",
    noEntry: "–",
    rssFeed: "RSS-Feed abonnieren",
  },
  weekEditor: {
    title: "Wochenplan",
@@ -104,6 +113,15 @@ const de = {
    loadError: "Laden fehlgeschlagen: {message}",
    saveError: "Speichern fehlgeschlagen: {message}",
    deleteError: "Löschen fehlgeschlagen: {message}",
    exportButton: "Exportieren",
    importButton: "Importieren",
    exportError: "Export fehlgeschlagen: {message}",
    importError: "Import fehlgeschlagen: {message}",
    importSuccess: "{created} neu angelegt, {updated} aktualisiert.",
    importSkipped: "{count} Zeile(n) übersprungen: {reasons}",
    importSkippedRow: "Zeile {row}: {reason}",
    labelingDisabledHint:
      "Allergene/Zusatzstoffe sind aktuell deaktiviert (Hinweismodus aktiv, siehe „Allergene & Zusatzstoffe“).",
  },
  codeList: {
    allergensTitle: "Allergene",
@@ -117,6 +135,13 @@ const de = {
    loadError: "Laden fehlgeschlagen: {message}",
    saveError: "Speichern fehlgeschlagen: {message}",
    deleteError: "Löschen fehlgeschlagen: {message}",
    exportButton: "Exportieren",
    importButton: "Importieren",
    exportError: "Export fehlgeschlagen: {message}",
    importError: "Import fehlgeschlagen: {message}",
    importSuccess: "{created} neu angelegt, {updated} aktualisiert.",
    importSkipped: "{count} Zeile(n) übersprungen: {reasons}",
    importSkippedRow: "Zeile {row}: {reason}",
  },
  sectionManager: {
    title: "Essenszeiten",
@@ -183,6 +208,20 @@ const de = {
    confirmRemoveLogo: "Logo wirklich entfernen?",
    confirmRemoveFavicon: "Favicon wirklich entfernen?",
  },
  labelingNotice: {
    title: "Anzeige von Allergenen & Zusatzstoffen",
    hint:
      "Standardmäßig sieht jeder Gast eine detaillierte Auswahl der Allergene/Zusatzstoffe je Gericht. Alternativ kann stattdessen nur ein Hinweistext angezeigt werden – die Auswahl je Gericht wird dann auch in der Gerichte-Verwaltung ausgeblendet.",
    modeDetailed: "Detaillierte Auswahl je Gericht anzeigen",
    modeNotice: "Nur Hinweistext anzeigen",
    noticeDeLabel: "Hinweistext (Deutsch)",
    noticeEnLabel: "Hinweistext (Englisch)",
    noticePlLabel: "Hinweistext (Polnisch)",
    save: "Speichern",
    saved: "Gespeichert.",
    loadError: "Laden fehlgeschlagen: {message}",
    saveError: "Speichern fehlgeschlagen: {message}",
  },
  passkeys: {
    title: "Passkeys",
    hint: "Mit einem Passkey (Fingerabdruck, Gesichtserkennung oder Sicherheitsschlüssel) kannst du dich künftig ohne Passwort anmelden. Passkeys gelten pro Domain – nach einem Domainwechsel müssen sie neu registriert werden.",
@@ -291,6 +330,7 @@ const en: Dict = {
    users: "Users",
    design: "Design",
    suggestions: "Suggestions",
    openSuggestions: "{count} open dish suggestions",
    viewMenu: "View menu",
    myAccount: "My account",
  },
@@ -299,12 +339,17 @@ const en: Dict = {
    submit: "Log in",
    or: "or",
    passkeyButton: "Sign in with passkey",
    ssoButton: "Sign in with Single Sign-On",
    backToMenu: "← Back to menu",
    errorInvalidCredentials: "Email address or password is incorrect.",
    errorPasskeyCancelled: "Passkey sign-in was cancelled.",
    errorGeneric: "Sign-in failed: {message}",
    errorPasswordDisabled:
      "Password sign-in is disabled for this account. Please sign in with a passkey.",
    errorOidcInvalidState: "The SSO sign-in expired or was invalid. Please try again.",
    errorOidcUnknownUser:
      "No account exists for this email address. Please contact your administrator.",
    errorOidcFailed: "SSO sign-in failed. Please try again.",
  },
  publicMenu: {
    prevWeek: "← Previous week",
@@ -316,8 +361,10 @@ const en: Dict = {
    weekTab: "Week",
    allergens: "Allergens",
    additives: "Additives",
    labelingNoticeTitle: "Allergens & additives",
    suggestDish: "Suggest a dish",
    noEntry: "–",
    rssFeed: "Subscribe to RSS feed",
  },
  weekEditor: {
    title: "Weekly plan",
@@ -358,6 +405,15 @@ const en: Dict = {
    loadError: "Loading failed: {message}",
    saveError: "Saving failed: {message}",
    deleteError: "Deleting failed: {message}",
    exportButton: "Export",
    importButton: "Import",
    exportError: "Export failed: {message}",
    importError: "Import failed: {message}",
    importSuccess: "{created} created, {updated} updated.",
    importSkipped: "{count} row(s) skipped: {reasons}",
    importSkippedRow: "Row {row}: {reason}",
    labelingDisabledHint:
      "Allergens/additives are currently disabled (notice mode active, see \"Allergens & additives\").",
  },
  codeList: {
    allergensTitle: "Allergens",
@@ -371,6 +427,13 @@ const en: Dict = {
    loadError: "Loading failed: {message}",
    saveError: "Saving failed: {message}",
    deleteError: "Deleting failed: {message}",
    exportButton: "Export",
    importButton: "Import",
    exportError: "Export failed: {message}",
    importError: "Import failed: {message}",
    importSuccess: "{created} created, {updated} updated.",
    importSkipped: "{count} row(s) skipped: {reasons}",
    importSkippedRow: "Row {row}: {reason}",
  },
  sectionManager: {
    title: "Meal times",
@@ -437,6 +500,20 @@ const en: Dict = {
    confirmRemoveLogo: "Really remove the logo?",
    confirmRemoveFavicon: "Really remove the favicon?",
  },
  labelingNotice: {
    title: "Allergen & additive display",
    hint:
      "By default every guest sees a detailed allergen/additive selection per dish. Alternatively, only a notice text can be shown instead – the per-dish selection is then also hidden in the dish manager.",
    modeDetailed: "Show detailed selection per dish",
    modeNotice: "Show only notice text",
    noticeDeLabel: "Notice text (German)",
    noticeEnLabel: "Notice text (English)",
    noticePlLabel: "Notice text (Polish)",
    save: "Save",
    saved: "Saved.",
    loadError: "Loading failed: {message}",
    saveError: "Saving failed: {message}",
  },
  passkeys: {
    title: "Passkeys",
    hint: "With a passkey (fingerprint, face recognition, or a security key) you can sign in without a password in the future. Passkeys are bound to a domain – after a domain change they need to be registered again.",
@@ -543,6 +620,7 @@ const pl: Dict = {
    users: "Użytkownicy",
    design: "Wygląd",
    suggestions: "Propozycje",
    openSuggestions: "{count} otwartych propozycji dań",
    viewMenu: "Zobacz jadłospis",
    myAccount: "Moje konto",
  },
@@ -551,12 +629,18 @@ const pl: Dict = {
    submit: "Zaloguj się",
    or: "lub",
    passkeyButton: "Zaloguj się kluczem dostępu",
    ssoButton: "Zaloguj się przez Single Sign-On",
    backToMenu: "← Powrót do jadłospisu",
    errorInvalidCredentials: "Nieprawidłowy adres e-mail lub hasło.",
    errorPasskeyCancelled: "Logowanie kluczem dostępu zostało anulowane.",
    errorGeneric: "Logowanie nie powiodło się: {message}",
    errorPasswordDisabled:
      "Logowanie hasłem jest wyłączone dla tego konta. Zaloguj się kluczem dostępu.",
    errorOidcInvalidState:
      "Logowanie SSO wygasło lub jest nieprawidłowe. Spróbuj ponownie.",
    errorOidcUnknownUser:
      "Nie istnieje konto dla tego adresu e-mail. Skontaktuj się z administracją.",
    errorOidcFailed: "Logowanie SSO nie powiodło się. Spróbuj ponownie.",
  },
  publicMenu: {
    prevWeek: "← Poprzedni tydzień",
@@ -568,8 +652,10 @@ const pl: Dict = {
    weekTab: "Tydzień",
    allergens: "Alergeny",
    additives: "Dodatki",
    labelingNoticeTitle: "Alergeny i dodatki",
    suggestDish: "Zaproponuj danie",
    noEntry: "–",
    rssFeed: "Subskrybuj kanał RSS",
  },
  weekEditor: {
    title: "Plan tygodnia",
@@ -610,6 +696,15 @@ const pl: Dict = {
    loadError: "Wczytywanie nie powiodło się: {message}",
    saveError: "Zapisywanie nie powiodło się: {message}",
    deleteError: "Usuwanie nie powiodło się: {message}",
    exportButton: "Eksportuj",
    importButton: "Importuj",
    exportError: "Eksport nie powiódł się: {message}",
    importError: "Import nie powiódł się: {message}",
    importSuccess: "Utworzono: {created}, zaktualizowano: {updated}.",
    importSkipped: "Pominięto wierszy: {count}: {reasons}",
    importSkippedRow: "Wiersz {row}: {reason}",
    labelingDisabledHint:
      "Alergeny/dodatki są obecnie wyłączone (aktywny tryb komunikatu, patrz „Alergeny i dodatki”).",
  },
  codeList: {
    allergensTitle: "Alergeny",
@@ -623,6 +718,13 @@ const pl: Dict = {
    loadError: "Wczytywanie nie powiodło się: {message}",
    saveError: "Zapisywanie nie powiodło się: {message}",
    deleteError: "Usuwanie nie powiodło się: {message}",
    exportButton: "Eksportuj",
    importButton: "Importuj",
    exportError: "Eksport nie powiódł się: {message}",
    importError: "Import nie powiódł się: {message}",
    importSuccess: "Utworzono: {created}, zaktualizowano: {updated}.",
    importSkipped: "Pominięto wierszy: {count}: {reasons}",
    importSkippedRow: "Wiersz {row}: {reason}",
  },
  sectionManager: {
    title: "Pory posiłków",
@@ -689,6 +791,20 @@ const pl: Dict = {
    confirmRemoveLogo: "Czy na pewno usunąć logo?",
    confirmRemoveFavicon: "Czy na pewno usunąć favicon?",
  },
  labelingNotice: {
    title: "Wyświetlanie alergenów i dodatków",
    hint:
      "Domyślnie każdy gość widzi szczegółowy wybór alergenów/dodatków dla każdego dania. Alternatywnie można zamiast tego wyświetlić tylko komunikat – wybór dla poszczególnych dań zostanie wtedy również ukryty w zarządzaniu daniami.",
    modeDetailed: "Pokaż szczegółowy wybór dla każdego dania",
    modeNotice: "Pokaż tylko komunikat",
    noticeDeLabel: "Tekst komunikatu (niemiecki)",
    noticeEnLabel: "Tekst komunikatu (angielski)",
    noticePlLabel: "Tekst komunikatu (polski)",
    save: "Zapisz",
    saved: "Zapisano.",
    loadError: "Wczytywanie nie powiodło się: {message}",
    saveError: "Zapisywanie nie powiodło się: {message}",
  },
  passkeys: {
    title: "Klucze dostępu",
    hint: "Dzięki kluczowi dostępu (odcisk palca, rozpoznawanie twarzy lub klucz bezpieczeństwa) możesz w przyszłości logować się bez hasła. Klucze dostępu są przypisane do domeny – po zmianie domeny trzeba je zarejestrować ponownie.",
@@ -1,15 +1,16 @@
 {
  "name": "canteen-menu",
-  "version": "1.5.0",
+  "version": "1.8.1",
  "lockfileVersion": 3,
  "requires": true,
  "packages": {
    "": {
      "name": "canteen-menu",
-      "version": "1.5.0",
+      "version": "1.8.1",
      "dependencies": {
        "@simplewebauthn/browser": "^13.3.0",
        "@simplewebauthn/server": "^13.3.2",
        "jose": "^6.2.3",
        "next": "16.2.10",
        "pg": "^8.22.0",
        "react": "19.2.4",
@@ -1767,6 +1768,72 @@
        "node": ">=14.0.0"
      }
    },
    "node_modules/@tailwindcss/oxide-wasm32-wasi/node_modules/@emnapi/core": {
      "version": "1.11.1",
      "dev": true,
      "inBundle": true,
      "license": "MIT",
      "optional": true,
      "dependencies": {
        "@emnapi/wasi-threads": "1.2.2",
        "tslib": "^2.4.0"
      }
    },
    "node_modules/@tailwindcss/oxide-wasm32-wasi/node_modules/@emnapi/runtime": {
      "version": "1.11.1",
      "dev": true,
      "inBundle": true,
      "license": "MIT",
      "optional": true,
      "dependencies": {
        "tslib": "^2.4.0"
      }
    },
    "node_modules/@tailwindcss/oxide-wasm32-wasi/node_modules/@emnapi/wasi-threads": {
      "version": "1.2.2",
      "dev": true,
      "inBundle": true,
      "license": "MIT",
      "optional": true,
      "dependencies": {
        "tslib": "^2.4.0"
      }
    },
    "node_modules/@tailwindcss/oxide-wasm32-wasi/node_modules/@napi-rs/wasm-runtime": {
      "version": "1.1.4",
      "dev": true,
      "inBundle": true,
      "license": "MIT",
      "optional": true,
      "dependencies": {
        "@tybys/wasm-util": "^0.10.1"
      },
      "funding": {
        "type": "github",
        "url": "https://github.com/sponsors/Brooooooklyn"
      },
      "peerDependencies": {
        "@emnapi/core": "^1.7.1",
        "@emnapi/runtime": "^1.7.1"
      }
    },
    "node_modules/@tailwindcss/oxide-wasm32-wasi/node_modules/@tybys/wasm-util": {
      "version": "0.10.2",
      "dev": true,
      "inBundle": true,
      "license": "MIT",
      "optional": true,
      "dependencies": {
        "tslib": "^2.4.0"
      }
    },
    "node_modules/@tailwindcss/oxide-wasm32-wasi/node_modules/tslib": {
      "version": "2.8.1",
      "dev": true,
      "inBundle": true,
      "license": "0BSD",
      "optional": true
    },
    "node_modules/@tailwindcss/oxide-win32-arm64-msvc": {
      "version": "4.3.3",
      "resolved": "https://registry.npmjs.org/@tailwindcss/oxide-win32-arm64-msvc/-/oxide-win32-arm64-msvc-4.3.3.tgz",
@@ -4864,6 +4931,15 @@
        "jiti": "lib/jiti-cli.mjs"
      }
    },
    "node_modules/jose": {
      "version": "6.2.3",
      "resolved": "https://registry.npmjs.org/jose/-/jose-6.2.3.tgz",
      "integrity": "sha512-YYVDInQKFJfR/xa3ojUTl8c2KoTwiL1R5Wg9YCydwH0x0B9grbzlg5HC7mMjCtUJjbQ/YnGEZIhI5tCgfTb4Hw==",
      "license": "MIT",
      "funding": {
        "url": "https://github.com/sponsors/panva"
      }
    },
    "node_modules/js-tokens": {
      "version": "4.0.0",
      "resolved": "https://registry.npmjs.org/js-tokens/-/js-tokens-4.0.0.tgz",
@@ -1,6 +1,6 @@
 {
  "name": "canteen-menu",
-  "version": "1.5.0",
+  "version": "1.9.0",
  "private": true,
  "scripts": {
    "predev": "node --env-file-if-exists=.env.local db/migrate.mjs && node --env-file-if-exists=.env.local scripts/bootstrap-admin.mjs",
@@ -15,6 +15,7 @@
  "dependencies": {
    "@simplewebauthn/browser": "^13.3.0",
    "@simplewebauthn/server": "^13.3.2",
    "jose": "^6.2.3",
    "next": "16.2.10",
    "pg": "^8.22.0",
    "react": "19.2.4",
@@ -58,19 +58,36 @@ async function main() {
      [email, passwordHash]
    );
    // Der Admin-Datensatz steht ab hier in der Datenbank – das darf durch
    // ein Problem beim Ablegen der Zugangsdaten nicht mehr verloren gehen
    // (sonst gibt es einen Benutzer, dessen Passwort niemand kennt).
    // appendFileSync() also bewusst nicht mehr ungefangen werfen lassen,
    // sondern im Fehlerfall die Zugangsdaten direkt ins Log schreiben.
    const zugangsdatenPath = join(
      dirname(dirname(fileURLToPath(import.meta.url))),
      "ZUGANGSDATEN.md"
    );
    const entry = `\n## Admin-Zugang (automatisch angelegt, ${new Date().toISOString().slice(0, 10)})\n\n- E-Mail: \`${email}\`\n- Passwort: \`${password}\`\n\nBitte nach dem ersten Login ändern.\n`;
    let wroteFile = false;
    try {
      if (existsSync(zugangsdatenPath)) {
        appendFileSync(zugangsdatenPath, entry);
        wroteFile = true;
      }
    } catch (err) {
      console.warn(`bootstrap-admin – Konnte ${zugangsdatenPath} nicht beschreiben: ${err.message}`);
    }
    if (wroteFile) {
      console.log(`bootstrap-admin – Admin angelegt: ${email} (Passwort siehe ZUGANGSDATEN.md)`);
    } else {
      console.warn(
-        `bootstrap-admin – ${zugangsdatenPath} existiert nicht, Zugangsdaten werden nur geloggt:`
+        `bootstrap-admin – ${zugangsdatenPath} existiert nicht oder ist nicht beschreibbar. ` +
          `Zugangsdaten NUR HIER im Log, bitte sofort notieren:`
      );
      console.log(`bootstrap-admin – Admin-E-Mail:   ${email}`);
      console.log(`bootstrap-admin – Admin-Passwort: ${password}`);
    }
    console.log(`bootstrap-admin – Admin angelegt: ${email} (Passwort siehe ZUGANGSDATEN.md)`);
  } finally {
    await client.end();
  }
@@ -0,0 +1,45 @@
 #!/usr/bin/env bash
 # Aktualisiert ein per Docker Compose betriebenes Deployment:
 # Stack stoppen -> lokale docker-compose.yml-Änderungen sichern (git stash)
 # -> git pull -> Änderungen zurückspielen -> Stack neu bauen und starten.
 #
 # Aufruf im Projektverzeichnis (dort, wo docker-compose.yml liegt):
 #   ./update.sh
 set -euo pipefail
 cd "$(dirname "$0")"
 ENV_FILE=".env.local"
 if [ ! -f "$ENV_FILE" ]; then
  echo "Fehler: $ENV_FILE nicht gefunden. Bitte im Projektverzeichnis ausführen." >&2
  exit 1
 fi
 echo "==> Stoppe laufenden Stack..."
 docker compose --env-file "$ENV_FILE" down
 STASHED=0
 if ! git diff --quiet -- docker-compose.yml || ! git diff --cached --quiet -- docker-compose.yml; then
  echo "==> Sichere lokale Änderungen an docker-compose.yml (git stash)..."
  git stash push --message "update.sh: docker-compose.yml vor Pull gesichert" -- docker-compose.yml
  STASHED=1
 fi
 echo "==> Hole neueste Version (git pull)..."
 git pull
 if [ "$STASHED" -eq 1 ]; then
  echo "==> Stelle lokale Änderungen an docker-compose.yml wieder her..."
  if ! git stash pop; then
    echo "Fehler: git stash pop hatte einen Konflikt in docker-compose.yml." >&2
    echo "Bitte den Konflikt manuell auflösen (git status), danach Stack manuell starten:" >&2
    echo "  docker compose --env-file $ENV_FILE up -d --build" >&2
    exit 1
  fi
 fi
 echo "==> Baue und starte Stack neu..."
 docker compose --env-file "$ENV_FILE" up -d --build
 echo "==> Fertig. Status:"
 docker compose ps
Author	SHA1	Message	Date
florian.wilde	db868d1174	Merge feature/v1.9: SSO-Login per OpenID Connect (Authentik u.a.)	2026-07-20 00:34:11 +02:00
florian.wildeandClaude Sonnet 5	32ef93ae8e	feat: SSO-Login per OpenID Connect (Authentik u.a.) Dritte Login-Methode neben Passwort und Passkey, konfiguriert über OIDC_ISSUER/OIDC_CLIENT_ID/OIDC_CLIENT_SECRET (optional, Button bleibt ohne diese Vars ausgeblendet). Authorization-Code-Flow mit PKCE, ID-Token-Signaturprüfung gegen das JWKS des Providers via neuer Abhängigkeit "jose" (RS256 fest gepinnt gegen Algorithm-Confusion), State/Nonce kurzlebig und einmalig verwendbar in neuer Tabelle oidc_states (Migration 0003, analog zu webauthn_challenges). Funktioniert ausschließlich für bereits angelegte Benutzer (Abgleich per E-Mail) – kein Auto-Provisioning, keine Rollenübernahme aus Claims, beides bleibt exklusiv über die bestehende Benutzerverwaltung steuerbar. app/login/page.tsx zu Server-Component-Wrapper reduziert (prüft isConfigured(), liest ?error= aus searchParams), bisheriger Inhalt nach components/LoginForm.tsx verschoben. Version 1.9.0. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-07-20 00:29:57 +02:00
florian.wilde	73cbda65a1	Merge feature/update-script: Update-Skript für Linux-Deployments (update.sh)	2026-07-20 00:08:18 +02:00
florian.wildeandClaude Sonnet 5	3b5fbd1bcd	feat: Update-Skript fuer Linux-Deployments (update.sh) Stoppt den Docker-Stack, sichert lokale Aenderungen an docker-compose.yml per git stash (falls vorhanden), fuehrt git pull aus, spielt die Aenderungen zurueck und startet den Stack neu im Build-Modus. Bricht bei git-pull- oder Stash-Konflikten kontrolliert ab statt mit einem halb aktualisierten Stand weiterzumachen. Version 1.8.1. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-07-20 00:05:56 +02:00
florian.wilde	f561ac29ba	Merge feature/v1.8: Umschaltbarer Hinweismodus für Allergene/Zusatzstoffe	2026-07-19 23:58:45 +02:00
florian.wildeandClaude Sonnet 5	de8914f9cc	feat: Umschaltbarer Hinweismodus für Allergene/Zusatzstoffe Neue Migration 0002_labeling_notice.sql: settings.labeling_mode ("detailed"/"notice") + labeling_notice(_en/_pl). Auf der Seite "Allergene & Zusatzstoffe" (LabelingNoticeEditor) kann zwischen der detaillierten Auswahl je Gericht und einem editierbaren Hinweistext umgeschaltet werden. Im Hinweismodus entfällt auf der öffentlichen Speisekarte (Desktop + Mobile) die Legende und die Kürzel an den Gerichten, in der Gerichte-Verwaltung wird die Chip-Auswahl beim Bearbeiten ausgeblendet. Umschalten/Bearbeiten ist für staff und admin freigegeben, Farben in /api/settings bleiben admin-only. Version 1.8.0. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-07-19 23:57:43 +02:00
florian.wilde	96eaf3989e	Merge feature/v1.7: CSV-Import/-Export, RSS-Fix für mehrere Essenszeiten	2026-07-19 23:14:02 +02:00
florian.wildeandClaude Sonnet 5	474467811c	feat: CSV-Import/-Export für Gerichte/Allergene/Zusatzstoffe, RSS-Fix für mehrere Essenszeiten CSV-Import/-Export (Gerichte, Allergene, Zusatzstoffe): neue Export-/ Import-Routen unter app/api//export und /import, hand-geschriebener CSV-Parser/-Serializer (lib/csv.ts, keine neue Abhängigkeit), Upsert über Kürzel (Allergene/Zusatzstoffe) bzw. exakten Namen (Gerichte, mit Ambiguitäts-Check bei Namensdopplung). UI-Buttons in DishManager und CodeListManager. RSS-Feed: <content:encoded> zusätzlich zu <description> ausgeben, da mehrere Feed-Reader description als kürzbare Vorschau behandeln und dadurch bei mehreren Essenszeiten pro Tag nur die erste zeigten. Version 1.7.0. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-07-19 23:10:36 +02:00
florian.wilde	5874eb31b6	Merge fix/branding-dir-env: BRANDING_DIR im app-Dienst setzen (Upload-500-Fix)	2026-07-18 15:11:27 +02:00
florian.wildeandClaude Sonnet 5	358872d56c	fix: BRANDING_DIR im app-Dienst setzen, sonst 500 beim Logo/Favicon-Upload Ohne die Variable weicht lib/branding.ts auf ${cwd}/data/branding (= /app/data/branding) aus statt das im Dockerfile vorbereitete und gemountete /data/branding zu nutzen. /app gehört root, der App-Prozess läuft aber als nicht-root – das Anlegen des Fallback-Verzeichnisses schlägt mit EACCES fehl. Version 1.6.3. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-07-18 15:10:46 +02:00
florian.wilde	36be08cea7	Merge fix/bootstrap-admin-file-permission: Admin-Passwort nicht mehr verlieren bei EACCES bootstrap-admin.mjs verliert das generierte Admin-Passwort nicht mehr, wenn ZUGANGSDATEN.md nicht beschreibbar ist (Fallback: Log statt Absturz nach erfolgreichem DB-Insert). DEPLOYMENT.md ergänzt um chmod 666 in Schritt 2 sowie Fehlerbehebung für ECONNREFUSED und diesen EACCES-Fall.	2026-07-18 14:51:55 +02:00
florian.wilde	b63822060d	Version 1.6.2	2026-07-18 14:51:29 +02:00
florian.wilde	94a2c98252	bootstrap-admin.mjs: Zugangsdaten nicht mehr verlieren, wenn ZUGANGSDATEN.md nicht beschreibbar ist Der Admin-Benutzer wird immer in der Datenbank angelegt, bevor versucht wird, die generierten Zugangsdaten in ZUGANGSDATEN.md zu schreiben. Schlug dieser Schreibvorgang fehl (z. B. EACCES, weil die per Bind-Mount eingebundene Host-Datei root gehört und der App-Container als nicht-root läuft), flog bisher eine ungefangene Exception – das Skript brach ab, BEVOR das Passwort irgendwo protokolliert wurde. Der Admin existierte dann in der DB, aber niemand kannte sein Passwort mehr. appendFileSync() läuft jetzt in einem try/catch; schlägt der Dateizugriff fehl, werden E-Mail und Passwort stattdessen direkt ins Log geschrieben, und das Skript beendet sich weiterhin mit Exitcode 0 (die eigentlich kritische Operation – der DB-Insert – ist ja bereits erfolgreich). Lokal verifiziert: Skript bricht bei einer nicht beschreibbaren ZUGANGSDATEN.md nicht mehr ab, Zugangsdaten landen im Log, zweiter Lauf bleibt idempotent. DEPLOYMENT.md: Schritt 2 ergänzt um "chmod 666 ZUGANGSDATEN.md" (der eigentliche Auslöser), neue Fehlerbehebung-Einträge für ECONNREFUSED-Startreihenfolge und diesen EACCES-Fall inkl. Recovery-Anleitung für einen bereits verwaisten Admin-Account.	2026-07-18 14:44:38 +02:00
florian.wilde	0d9d26b885	Merge fix/deployment-guide-pg-password: DB-Port nicht mehr exponiert, Deployment-Doku-Fixes Datenbank ist nur noch im internen Compose-Netzwerk erreichbar (kein Host-Port mehr). DEPLOYMENT.md: Fehlerbehebung für "password authentication failed" (PostgreSQL übernimmt das Passwort nur beim allerersten Start), .env.example warnt vor Sonderzeichen in LOCAL_PG_PASSWORD.	2026-07-18 14:30:00 +02:00
florian.wilde	233027fd17	Version 1.6.1	2026-07-18 14:29:13 +02:00
florian.wilde	469b93ee05	Datenbank-Port nicht mehr auf den Host exponieren docker-compose.yml: "ports: 5433:5432" beim db-Dienst entfernt. Die Datenbank ist damit nur noch innerhalb des Compose-Netzwerks unter "db:5432" erreichbar (für app/dev), nicht mehr vom Host oder von außen – reduziert die Angriffsfläche, ohne dass sich am App-Betrieb etwas ändert (Verbindung läuft ohnehin über den internen Service-Namen). Zugriff für Debugging/Backups weiterhin über "docker compose exec db psql"/"pg_dump" möglich. Lokal verifiziert: App verbindet sich weiterhin erfolgreich (Migration/ Bootstrap/Login laufen durch), Verbindungsversuch vom Host auf Port 5433 wird jetzt abgelehnt (connection refused). README.md an die entfallene Portangabe angepasst.	2026-07-18 14:25:55 +02:00
florian.wilde	536f51d516	DEPLOYMENT.md: Fehlerbehebung für "password authentication failed" Beim Ausrollen auf einem echten Server aufgetreten: PostgreSQL setzt sein Passwort nur beim allerersten Start auf leerem Datenverzeichnis – lief "docker compose up" vorher schon einmal ohne "--env-file .env.local" (oder wurde LOCAL_PG_PASSWORD nachträglich geändert), bleibt im Volume ein anderes Passwort stehen als die App danach verwendet. Neue Fehlerbehebung-Sektion mit der konkreten Fehlermeldung und zwei Fixes (Volume neu anlegen bei frischem Deployment, sonst Passwort im laufenden Container angleichen). Warnhinweis in Schritt 3 ergänzt. .env.example: Hinweis, dass LOCAL_PG_PASSWORD nur aus Buchstaben/ Zahlen bestehen sollte (#, $, Leerzeichen, Anführungszeichen können beim .env-Parsing zu stillen Fehlern führen).	2026-07-18 14:20:01 +02:00
florian.wilde	3b8f7de5e4	Merge feature/v1.6: RSS-Feed, Vorschläge-Badge, Deployment-Anleitung RSS-Feed des Speiseplans (/feed.xml, ein Eintrag pro Tag) mit Autodiscovery-Link und sichtbarem Icon im Header. Anzahl offener Rezeptvorschläge als Badge in der internen Navigation. Letzte Supabase-Erwähnungen aus aktiver Dokumentation entfernt. Neues DEPLOYMENT.md mit Schritt-für-Schritt-Anleitung für einen neuen Server.	2026-07-18 12:32:18 +02:00
florian.wilde	c986327c1c	Version 1.6.0 Verifiziert: RSS-Feed (/feed.xml, gültiges RSS 2.0, korrekte Tages- Einträge inkl. Essenszeiten/Preisen), Autodiscovery-Link + sichtbares Icon auf Desktop und Mobile, Vorschläge-Badge (Anzahl offener Rezeptvorschläge, aktualisiert bei Navigation), keine verbliebenen Supabase-Erwähnungen in aktiver Doku/Kommentaren.	2026-07-18 12:26:20 +02:00
florian.wilde	65bfd931cc	Schritt-für-Schritt-Deployment-Anleitung für neuen Server Neues DEPLOYMENT.md: Voraussetzungen, Repository holen, .env.local konfigurieren, docker compose up --build, Admin-Zugangsdaten aus ZUGANGSDATEN.md abholen, Reverse-Proxy/HTTPS (Caddy-Beispiel), Updates, Backup der Docker-Volumes. Aus README.md verlinkt. .env.example: LOCAL_PG_PASSWORD war bisher nirgends dokumentiert, obwohl docker-compose.yml die DATABASE_URL des App-Containers daraus zusammenbaut (die dortige DATABASE_URL-Zeile wird beim Docker-Compose-Betrieb ignoriert) – beim Schreiben der Anleitung aufgefallen und ergänzt. README.md: RSS-Feed und Vorschläge-Badge in der Funktionstabelle ergänzt.	2026-07-18 12:23:46 +02:00
florian.wilde	6f78762e27	Letzte Supabase-Erwähnungen aus aktiver Doku/Kommentaren entfernt README.md, db/migrations/0001_init.sql, lib/auth/webauthn-config.ts, lib/branding.ts nannten Supabase noch in Kommentaren, die erklären, was diese Stellen ersetzen. Umformuliert, ohne den alten Anbieter beim Namen zu nennen. CHANGELOG.md bleibt unverändert – die Erwähnungen dort sind historischer Bestand (u. a. der v1.5.0-Eintrag über die Supabase-Ablösung selbst) und sollen als Zeitdokument stehen bleiben.	2026-07-18 12:21:21 +02:00
florian.wilde	08a5ef8a2b	v1.6: RSS-Feed für den Speiseplan + Badge für offene Rezeptvorschläge app/feed.xml: RSS-2.0-Feed mit einem Eintrag pro Tag (aktuelle + nächste Woche), Gerichte je Essenszeit im CDATA-Beschreibungstext. Immer auf Deutsch, da Feedreader kein Sprach-Cookie mitschicken. Autodiscovery-Link im <head> (app/layout.tsx) sowie sichtbares RSS-Icon im Header der öffentlichen Speisekarte (neben Sprachumschalter/ Anmelden – die einzige Stelle, die auf allen Bildschirmgrößen sichtbar ist). AppHeader: "Vorschläge"-Navigationspunkt zeigt jetzt die Anzahl offener Rezeptvorschläge als Zahl im roten Kreis (GET /api/dish-suggestions, bereits staff/admin-beschränkt), aktualisiert sich bei Navigation innerhalb des internen Bereichs.	2026-07-18 12:18:46 +02:00