Archiv/Rechte: Review-Punkte

- archiviertes Projekt bleibt unter Funktionen sichtbar, solange dort eine
  Funktion bestellt/eingerichtet/aktiv ist (z. B. Terminbuchungen)
- auf archivierten Projekten nichts neu bestellen oder einschalten
- Projekttyp Vorlage nur fuer Admins; repo-readme nur fuer bekannte Projekte

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/routes/admin/gitea.js

@@ -1,4 +1,6 @@
 import { Router } from 'express'
+import { config } from '../../config.js'
+import { listDocuments, Query } from '../../services/appwriteAdmin.js'
 import { syncReposToAppwrite, fetchRepoReadme, importNewRepos } from '../../services/giteaAdmin.js'
 import { requireAppwriteTeam } from '../../middleware/appwriteStaff.js'
 
@@ -36,6 +38,12 @@ router.get('/repo-readme', async (req, res) => {
   }
 
   try {
+    // Nur Repos, die ein Projekt sind - der System-Schluessel sieht sonst jedes (auch private) Repo
+    const known = await listDocuments(config.collections.websiteProjects, [
+      Query.equal('repoFullName', repoFullName),
+      Query.limit(1),
+    ])
+    if (!known[0]) return res.status(404).json({ error: 'Projekt nicht gefunden' })
     const readme = await fetchRepoReadme(repoFullName)
     if (!readme) {
       return res.json({ ok: true, found: false, repoFullName })

server/routes/admin/websiteProjects.js

@@ -41,6 +41,10 @@ router.post('/create-from-template', async (req, res) => {
 // Projekt bearbeiten: Name / Subdomain / Typ -> synchronisiert Git + Preview + Appwrite
 router.patch('/:id', async (req, res) => {
   const { projectName, subdomain, projectType } = req.body || {}
+  // Vorlagen bleiben Admin-Sache (im Ticketsystem nur fuer Admins sichtbar)
+  if (projectType === 'template' && !req.appwriteUser?.labels?.includes('admin')) {
+    return res.status(403).json({ error: 'Nur Admins können Vorlagen anlegen.' })
+  }
   try {
     const result = await updateWebsiteProject(req.params.id, { projectName, subdomain, projectType })
     return res.json({ ok: true, ...result })

server/routes/funktionen.js

@@ -147,7 +147,7 @@ router.post('/news/checkout', requireSession, async (req, res) => {
       return res.status(400).json({ error: 'Bitte wähle ein Projekt.' })
     }
     const customerId = getSessionCustomerId(req)
-    await assertOwnProject(customerId, projectId)
+    await assertOwnProject(customerId, projectId, { forNewOrder: true })
     // Pruefen, Sitzung anlegen und eintragen als Ganzes je (Kunde, Projekt): zwei schnelle Klicks duerfen keine
     // zwei Sitzungen erzeugen, sonst ueberschreibt die zweite die ID der ersten und deren Zahlung findet kein Dokument
     const session = await withLocks([`feature-order:${customerId}:${projectId}`], async () => {
@@ -188,6 +188,7 @@ router.post('/analyse/activate', analyseGuard, async (req, res) => {
       return res.status(403).json({ error: 'In der Kundenansicht kann nichts geändert werden.' })
     }
     const { projectId, accentColor, consent } = req.body || {}
+    await assertOwnProject(getSessionCustomerId(req), analyseProjectId(projectId), { forNewOrder: true })
     const { doc } = await activateAnalyse({
       customerId: getSessionCustomerId(req),
       projectId: analyseProjectId(projectId),

server/services/siteFeatures.js

@@ -64,7 +64,8 @@ export async function getFeatureDoc(customerId, projectId, key) {
   }
 }
 
-export async function assertOwnProject(customerId, projectId) {
+/** forNewOrder: Neu bestellen/einschalten geht auf archivierten Projekten nicht mehr (Kunde sieht sie nicht). */
+export async function assertOwnProject(customerId, projectId, { forNewOrder = false } = {}) {
   let project = null
   try {
     project = await getDocument(config.collections.websiteProjects, projectId)
@@ -72,6 +73,9 @@ export async function assertOwnProject(customerId, projectId) {
     if (err.status !== 404) throw err
   }
   if (!project || !customerId || project.customerId !== customerId) throw httpError(403, 'Kein Zugriff auf dieses Projekt')
+  if (forNewOrder && project.archived) {
+    throw httpError(409, 'Dieses Projekt ist archiviert - dafür kann nichts mehr bestellt oder eingeschaltet werden.')
+  }
   return project
 }
 
@@ -131,15 +135,17 @@ export function listCustomerFeatureDocs(customerId) {
 
 /**
  * docs: bereits geladene Funktionsdokumente des Kunden (listCustomerFeatureDocs), damit sie nicht doppelt gelesen werden.
- * includeArchived: nur fuer die Mitarbeiter-Ansicht - der Kunde sieht archivierte Projekte nicht.
+ * includeArchived: nur fuer die Mitarbeiter-Ansicht. Der Kunde sieht archivierte Projekte nur noch, solange dort
+ * eine Funktion bestellt/eingerichtet/aktiv ist - sonst kaeme er z. B. nicht mehr an seine Terminbuchungen.
  */
 export async function listCustomerFeatures(customerId, { docs: geladen, includeArchived = false } = {}) {
+  const docs = geladen ?? (await listCustomerFeatureDocs(customerId))
+  const laufend = new Set(docs.filter((d) => ['ordered', 'setup', 'active'].includes(d.state)).map((d) => d.projectId))
   const projects = (await listDocuments(config.collections.websiteProjects, [
     Query.equal('customerId', customerId),
     Query.orderDesc('$createdAt'),
     Query.limit(1000),
-  ])).filter((p) => includeArchived || !p.archived)
-  const docs = geladen ?? (await listCustomerFeatureDocs(customerId))
+  ])).filter((p) => includeArchived || !p.archived || laufend.has(p.$id))
   const result = []
   for (const p of projects) {
     const features = {}