Kundenansicht: zentraler Waechter (2 h, Verwechslungsschutz, Schreibsperre ausser News)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/index.js

@@ -42,6 +42,7 @@ import adminSwitchLinkRoutes from './routes/admin/switchLink.js'
 import adminFinanzenRoutes from './routes/admin/finanzen.js'
 import teamRoutes from './routes/team/index.js'
 import { corsMiddleware } from './middleware/cors.js'
+import { kundenansichtGuard } from './middleware/kundenansichtGuard.js'
 
 const __dirname = path.dirname(fileURLToPath(import.meta.url))
 const publicDir = path.join(__dirname, '..', 'public')
@@ -51,6 +52,9 @@ assertServerConfig()
 const app = express()
 app.set('trust proxy', 1)
 app.use(sessionMiddleware())
+// Kundenansicht (Mitarbeiter im Portal eines Kunden): Ablauf, Verwechslungsschutz und Schreibsperre vor allen
+// Kunden-Routen, auch vor dem 15-MB-Parser der Gutschriften
+app.use(kundenansichtGuard)
 // Uebernahmegutschrift: Nachweise kommen als Base64 im JSON (max. 10 MB Dateien) -> eigenes Limit,
 // muss vor dem globalen Parser stehen (der ueberspringt bereits geparste Bodies). Login-Pruefung
 // zuerst, damit niemand ohne Session grosse Bodies parsen laesst.