Projekte: alle Mitarbeiter, private Repos, Archiv fuer Kunden ausgeblendet

Entscheidungen vom 04.10.2026:
- Projekt-Routen (website-projects, preview, gitea, services, analyse)
  fuer jeden Mitarbeiter (Label mitarbeiter oder admin); Kunden-,
  Mitarbeiter- und Finanz-Verwaltung bleiben nur fuer Admins
- Neue Repos aus der Vorlage werden privat angelegt
- Archivierte Projekte sieht der Kunde nicht mehr: Projektliste,
  Projektdetails, Preview-Zugang, Funktionen (Mitarbeiter-Ansicht schon)
- Projektliste des Kunden mit Limit (Appwrite liefert sonst nur 25)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/middleware/appwriteStaff.js

@@ -1,6 +1,20 @@
 import { config } from '../config.js'
+import { ADMIN_LABEL, STAFF_LABELS } from '../services/staffLabels.js'
 
-export async function requireAppwriteStaff(req, res, next) {
+/**
+ * Prueft das Appwrite-JWT aus dem Ticketsystem und verlangt eines der Labels `allowed`.
+ * requireAppwriteStaff: nur "admin" (Kunden, Mitarbeiter, Finanzen ...).
+ * requireAppwriteTeam: jeder Mitarbeiter ("mitarbeiter" oder "admin") - Projekt-Aktionen
+ * (Anlegen, Zuordnen, Archivieren, Preview, Analyse, Gitea-Import), Entscheidung 2026-10-04.
+ */
+function requireAppwriteLabels(allowed, deniedMessage) {
+  return (req, res, next) => checkAppwriteJwt(req, res, next, allowed, deniedMessage)
+}
+
+export const requireAppwriteStaff = requireAppwriteLabels([ADMIN_LABEL], 'Admin-Berechtigung erforderlich')
+export const requireAppwriteTeam = requireAppwriteLabels(STAFF_LABELS, 'Nur für Mitarbeiter')
+
+async function checkAppwriteJwt(req, res, next, allowed, deniedMessage) {
   const authHeader = req.get('Authorization') || ''
   const match = authHeader.match(/^Bearer\s+(.+)$/i)
   if (!match) {
@@ -32,8 +46,8 @@ export async function requireAppwriteStaff(req, res, next) {
       return res.status(401).json({ error: data?.message || 'Ungültiges JWT' })
     }
 
-    if (!Array.isArray(data?.labels) || !data.labels.includes('admin')) {
-      return res.status(403).json({ error: 'Admin-Berechtigung erforderlich' })
+    if (!Array.isArray(data?.labels) || !allowed.some((label) => data.labels.includes(label))) {
+      return res.status(403).json({ error: deniedMessage })
     }
 
     req.appwriteUser = data