Mitarbeiter-Zugang: --ohne-buckets (Server-Key ohne buckets-Scope, Buckets dann in der Konsole)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

test/staffAccess.test.js

@@ -120,6 +120,11 @@ test('planPermissionChanges: liest ueber 100 Dokumente seitenweise, offen-lassen
   const partial = await planPermissionChanges(failing)
   assert.deepEqual(partial.errors, [{ path: '/storage/buckets', error: 'missing scope (buckets.read)' }])
   assert.ok(partial.changes.some((c) => c.id === 'workorders'))
+
+  // --ohne-buckets: Buckets gar nicht erst lesen -> kein Fehler, nur Collections und Dokumente
+  const noBuckets = await planPermissionChanges(failing, { buckets: false })
+  assert.deepEqual(noBuckets.errors, [])
+  assert.deepEqual(noBuckets.changes.map((c) => c.kind).filter((k) => k === 'bucket'), [])
 })
 
 test('applyPermissionChanges: schreibt mit allen Einstellungen, meldet Fehler je Stelle, Ruecknahme schreibt before', async () => {