Kundenansicht neu P2: Adressen auf derselben Herkunft zulassen (Vorschau, Zahlungsseiten)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

public/neu/ansicht-hilfen.js

@@ -181,4 +181,11 @@ export function wechselFunktionAus(sub) {
   return { key: f.key, projectId: f.projectId }
 }
 
+/** Adressen aus Daten (previewUrl, portalUrl, paymentUrl): http(s) wie safeUrl, dazu Pfade auf derselben Herkunft ("/vorschau-hinweis.html").
+ *  Nicht zugelassen: javascript:, data:, "//host" und "/\\host" (Browser lesen den Rückstrich wie einen Schrägstrich). Sonst ''. */
+export function sichereAdresse(url) {
+  const text = typeof url === 'string' ? url : ''
+  return safeUrl(text) || (/^\/(?![/\\])/.test(text) ? text : '')
+}
+
 export { safeUrl }