Kontrolle: Bestaetigen per Link prueft Token und Ablauf in der Sperre erneut

Ein Token-Tausch durch die Erinnerung zwischen Pruefung und Sperre ergibt 404 wie bei
einem ungueltigen Link; das Portal ist nicht betroffen.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

server/services/auftraege/bestaetigung.js

@@ -16,6 +16,7 @@ export const GESPERRT_MELDUNG = {
   storniert: 'Diese Auftragsbestätigung wurde storniert.',
   widerrufen: 'Diese Auftragsbestätigung wurde widerrufen.',
 }
+export const UNGUELTIGER_LINK = 'Dieser Link ist ungültig oder abgelaufen.'
 const NICHT_BESTAETIGBAR = 'Diese Auftragsbestätigung kann nicht bestätigt werden.'
 const NICHT_GEFUNDEN = 'Auftragsbestätigung nicht gefunden.'
 const GESPERRT_STATUS = ['entwurf', 'ersetzt', 'storniert', 'widerrufen']
@@ -39,6 +40,14 @@ export async function bestaetigeAuftrag(auftrag, { ueber, fruehbeginn, jetzt = n
     if (!frisch) throw new AuftragError(404, NICHT_GEFUNDEN)
     const lage = bestaetigungsLage(frisch)
     if (lage === 'gesperrt') throw new AuftragError(409, GESPERRT_MELDUNG[frisch.status] ?? NICHT_BESTAETIGBAR)
+    if (ueber === 'link') {
+      // Die Route hat Token und Ablauf auf einem Stand ausserhalb der Sperre geprueft; eine Erinnerung (Token-Tausch) kann
+      // dazwischen gelaufen sein: dann gilt der alte Link nicht mehr, wie bei jedem ungueltigen Link (404)
+      const bis = frisch.tokenGueltigBis ? Date.parse(frisch.tokenGueltigBis) : Number.NaN
+      if (!frisch.tokenHash || frisch.tokenHash !== auftrag.tokenHash || !Number.isFinite(bis) || jetzt.getTime() > bis) {
+        throw new AuftragError(404, UNGUELTIGER_LINK)
+      }
+    }
     if (lage === 'bestaetigt') return { aktuell: frisch, bestaetigtJetzt: false }
     const privat = frisch.kunde?.kundenart === 'privat'
     const patch = {