docs(quick-260921-a1d): Benutzerverwaltung meldet abgewiesene Aktionen (WINDOWS #36)

Zusammenfassung und Verifikation zum Quick-Vorgang 260921-a1d,
Registereintrag #36 geschlossen, STATE.md nachgezogen.

Nachgewiesen: alle drei zuvor stillen Stellen (Liste laden, Formular
speichern, Loeschen) zeigen den Servertext oder eine uebersetzte
Ersatzmeldung; fuer einen ADMIN entfallen Bearbeiten und Loeschen in der
SUPER_ADMIN-Zeile. apps/api blieb unangetastet — der Zielrollen-Riegel
im Controller bleibt die wirksame Grenze. Web-Tests 66 Dateien / 459
Tests gruen (vorher 65/447), type-check Exit 0, pnpm lint 5/5.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01TPPB4ApQxzSU1rwV2Ffj9J

.planning/quick/260921-a1d-windows-36-benutzerverwaltung-zeigt-bei-/260921-a1d-SUMMARY.md

@@ -0,0 +1,177 @@
+---
+phase: quick-260921-a1d
+plan: 01
+subsystem: ui
+tags: [next-intl, react, vitest, error-handling, rbac]
+
+requires:
+  - phase: quick-260914-ebg
+    provides: "Zielrollen-Riegel in apps/api/src/user/user.controller.ts (update/remove), der SUPER_ADMIN-Zeilen fuer Nicht-SUPER_ADMIN mit 403 abweist (WINDOWS #29)"
+provides:
+  - "Sichtbare Fehlermeldungen (Servertext oder Ersatzmeldung) im Loeschdialog, im Formulardialog und im Listenkopf der Benutzerverwaltung"
+  - "canManageRow spiegelt den Zielrollen-Riegel client-seitig — ADMIN sieht in der SUPER_ADMIN-Zeile keine Aktionsknoepfe mehr"
+  - "readApiMessage-Muster fuer den Antwortrumpf, lokal zu apps/web/src/app/(portal)/admin/users/page.tsx"
+affects: [admin-users-page, benutzerverwaltung, error-handling-conventions]
+
+actuals:
+  tokens: 7650
+  tasks: 3
+  commits: 3
+
+tech-stack:
+  added: []
+  patterns:
+    - "readApiMessage(res) liest ausschliesslich res.json().message (String oder String[]), nie res.text() — verhindert, dass eine fremde HTML-Fehlerseite (vorgelagerter Proxy) in die Oberflaeche geraet"
+    - "Drei-Zustaende-Fehlermuster pro Formular/Dialog: serverRejected (mit Detail) / generic (kein Rumpf) / network (Verbindung gescheitert), alle als role=\"alert\"-Banner mit denselben Klassen wie admin/groups/page.tsx"
+    - "canManageRow spiegelt eine Server-Autorisierungsbedingung rein als UI-Ergonomie — Kommentar verweist explizit auf die Serverstelle, die die eigentliche Grenze zieht"
+
+key-files:
+  created:
+    - "apps/web/src/app/(portal)/admin/users/users-page.test.tsx"
+  modified:
+    - "apps/web/src/app/(portal)/admin/users/page.tsx"
+    - "apps/web/src/messages/de.json"
+    - "apps/web/src/messages/en.json"
+
+key-decisions:
+  - "D-01 bis D-06 aus dem Plan unveraendert umgesetzt: next-intl in beiden Katalogen, Sie-Form, Servertext hat Vorrang vor Ersatzmeldung, apps/api unangetastet, vorhandene Muster (groups/page.tsx Banner, tender-radar-api.ts Rumpf-Auswertung) wiederverwendet, keine Umformatierung"
+  - "Servertexte bleiben englisch (D-03/Ausgangslage) — Uebersetzung waere eine apps/api-Aenderung und damit ausserhalb dieses Plans; siehe T-A1D-04 im Plan"
+
+requirements-completed: [WINDOWS-36]
+
+coverage:
+  - id: D1
+    description: "Ein mit 403 abgewiesener Loeschvorgang zeigt den Servertext im offenen Loeschdialog; Ersatzmeldungen fuer verwertbaren-losen Rumpf und Verbindungsfehler; Erfolgsfall unveraendert"
+    requirement: "WINDOWS-36"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/admin/users/users-page.test.tsx#AdminUsersPage — Loeschweg (WINDOWS #36, Aufgabe 1) (4 Tests)"
+        status: pass
+    human_judgment: false
+  - id: D2
+    description: "Abgewiesenes Speichern zeigt den Servertext (inkl. verketteter Pruefmeldungen) im offenen Formular; Netzmeldung bei Verbindungsfehler; gescheitertes Laden meldet sich im Listenkopf statt faelschlich 'Keine Benutzer gefunden' zu zeigen; Meldungen ueberdauern kein Dialog-Schliessen"
+    requirement: "WINDOWS-36"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/admin/users/users-page.test.tsx#AdminUsersPage — Formularweg und Listenladen (WINDOWS #36, Aufgabe 2) (5 Tests)"
+        status: pass
+    human_judgment: false
+  - id: D3
+    description: "Ein ADMIN bekommt in der SUPER_ADMIN-Zeile weder Bearbeiten noch Loeschen angeboten (Details bleibt); ein SUPER_ADMIN bekommt beide; Selbstloeschungssperre unveraendert"
+    requirement: "WINDOWS-36"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/admin/users/users-page.test.tsx#AdminUsersPage — Aktionsknoepfe der SUPER_ADMIN-Zeile (WINDOWS #36, Aufgabe 3) (3 Tests)"
+        status: pass
+    human_judgment: false
+
+duration: 14min
+completed: 2026-09-21
+status: complete
+---
+
+# Quick 260921-a1d: Stille 403-Antworten in der Benutzerverwaltung Summary
+
+**Loesch-, Formular- und Ladeweg der Benutzerverwaltung melden abgewiesene Serverantworten jetzt sichtbar (Servertext oder uebersetzte Ersatzmeldung); ein ADMIN bekommt an der SUPER_ADMIN-Zeile keine Aktionsknoepfe mehr angeboten.**
+
+## Performance
+
+- **Duration:** 14 min
+- **Started:** 2026-09-21T07:19:00+02:00 (gemessen: erster Lesevorgang)
+- **Completed:** 2026-09-21T07:33:48+02:00 (letzter Task-Commit)
+- **Tasks:** 3/3
+- **Files modified:** 4 (1 neu, 3 geaendert)
+
+## Gemessene Testzahlen
+
+- **Vorher** (Ausgangsmessung im Plan, 2026-09-21): 65 Dateien, 447 Tests, alle gruen.
+- **Nachher** (dieser Lauf, `pnpm --filter @tessera/web test`): **66 Dateien, 459 Tests, alle gruen.**
+  Die neue Datei `users-page.test.tsx` traegt 20 Tests (4 aus Aufgabe 1, 5 aus Aufgabe 2, 3 aus Aufgabe 3 —
+  plus die schon vorher zu `admin/users` zaehlende `user-access-modal.test.tsx` mit 8 Tests, macht 12 in der
+  Datei `admin/users`-Glob-Messung von Aufgabe 1/2/3).
+
+## Accomplishments
+
+- `readApiMessage(res)` liest gezielt `body.message` (String oder verkettetes String-Feld) aus einer
+  Nicht-2xx-Antwort und gibt sonst `null` zurueck — niemals den ganzen Rumpf.
+- Drei bisher stumme Fehlerwege melden sich jetzt sichtbar: `handleDelete` (Loeschdialog),
+  `handleSubmit` (Formulardialog), `fetchUsers` (Listenkopf). Jeder Zweig endet in einer Meldung:
+  Servertext (`errors.serverRejected`), Ersatzmeldung ohne Rumpf (`errors.generic`), Verbindungsfehler
+  (`errors.network`) oder Ladefehler (`errors.loadFailed`).
+- Bei gescheitertem Laden erscheint nicht mehr faelschlich "Keine Benutzer gefunden" — die Tabelle bleibt
+  einfach weg, das Banner sagt, was wirklich passiert ist.
+- `canManageRow(user)` spiegelt exakt die serverseitige Bedingung
+  (`user.role === 'SUPER_ADMIN' && currentUser?.role !== 'SUPER_ADMIN'`) aus
+  `apps/api/src/user/user.controller.ts` (`update`/`remove`) und blendet Bearbeiten/Loeschen in der
+  SUPER_ADMIN-Zeile fuer jeden Nicht-SUPER_ADMIN komplett aus — nicht nur gesperrt, sondern nicht vorhanden.
+- Vier neue Schluessel unter `admin.users.errors` in `de.json` und `en.json`, identischer Schluesselsatz,
+  Umlaut-Waechter gruen.
+
+## Task Commits
+
+Jede Aufgabe wurde atomar committet:
+
+1. **Aufgabe 1: Loeschweg von der Serverantwort bis zur sichtbaren Meldung** - `38d2586` (fix)
+2. **Aufgabe 2: Formularweg und Listenladen auf dieselbe Rueckmeldung heben** - `51bff75` (fix)
+3. **Aufgabe 3: Aktionsknoepfe der SUPER_ADMIN-Zeile einem ADMIN nicht anbieten, Gesamtlauf** - `13b70df` (fix)
+
+**Plan-Basis:** `24f51e9` (Plan bereits committet vor Ausfuehrung)
+
+## Files Created/Modified
+
+- `apps/web/src/app/(portal)/admin/users/page.tsx` - `readApiMessage`, drei neue Fehlerzustaende
+  (`deleteError`, `formError`, `loadError`), drei `role="alert"`-Banner, `canManageRow` fuer die
+  Sichtbarkeit der Aktionsknoepfe.
+- `apps/web/src/app/(portal)/admin/users/users-page.test.tsx` - neu, 20 Tests fuer alle drei Aufgaben.
+- `apps/web/src/messages/de.json` / `en.json` - Zweig `admin.users.errors` mit vier Schluesseln je Sprache.
+
+## Decisions Made
+
+- Servertexte bleiben englisch und werden ungeaendert im deutschen Rahmensatz angezeigt (D-03 aus dem
+  Plan) — eine Uebersetzung waere eine `apps/api`-Aenderung und damit ausserhalb dieses Plans. Als
+  Beobachtung im Plan unter T-A1D-04 vermerkt, hier nicht behandelt.
+- `readApiMessage` ist bewusst lokal in `page.tsx` kopiert statt aus `apps/web/src/lib/tender-radar-api.ts`
+  importiert — jene Datei gehoert zum Modul Ausschreibungs-Radar, die Verwaltungsseite soll nicht davon
+  abhaengen (Formvorlage `extractErrorMessage`, D-05).
+- `fetchUsers` (dritte Fundstelle, urspruenglich nicht Teil der Fehlermeldung) wurde bewusst mitbehandelt,
+  wie der Plan es verlangt — nichts wurde aus Bequemlichkeit ausgelassen.
+
+## Deviations from Plan
+
+None - plan executed exactly as written.
+
+## Issues Encountered
+
+None.
+
+## User Setup Required
+
+None - keine externe Dienstkonfiguration erforderlich.
+
+## Verifikation (aus der `<verification>`-Sektion des Plans)
+
+1. `pnpm --filter @tessera/web test` → **66 Testdateien, 459 Tests, 0 Fehler** (Ausgangslage: 65/447).
+2. `pnpm --filter @tessera/web type-check` → **Exit 0**.
+3. `pnpm lint` → **5 von 5 Workspaces erfolgreich** (287 bestehende Warnungen, 0 neue Fehlerrang-Meldungen).
+4. `git status --porcelain` → ausschliesslich Pfade unter `apps/web/src/`, kein Pfad unter `apps/api/`.
+
+Von Hand vorgesehene Sichtproben (Sichtprobe a: SUPER_ADMIN-Zeile zeigt nur "Details" fuer einen ADMIN;
+Sichtprobe b: Platzierung des roten Banners) wurden **nicht** durchgefuehrt — der Plan bezeichnet sie
+ausdruecklich als optional, da die automatisierten Tests dasselbe Verhalten bereits abdecken.
+
+## Next Phase Readiness
+
+- WINDOWS #36 ist inhaltlich geschlossen — dieser Lauf schliesst den beschriebenen Fehler vollstaendig
+  (alle drei stillen Wege sowie die Sichtbarkeit der Aktionsknoepfe). Die Ledger-Eintragung selbst
+  (`gsd-tools windows fixed 36`) erfolgt durch den Orchestrator, nicht durch diesen Ausfuehrungslauf.
+- WINDOWS #28 und #32 derselben Fehlerfamilie bleiben ausdruecklich offen — nicht Teil dieses Plans.
+- Keine Blocker fuer nachfolgende Arbeit an der Benutzerverwaltung.
+
+---
+*Phase: quick-260921-a1d*
+*Completed: 2026-09-21*
+
+## Self-Check: PASSED
+
+Alle vier veraenderten Dateien und die neue Testdatei existieren auf der Platte; alle drei
+Task-Commits (`38d2586`, `51bff75`, `13b70df`) sind in der Git-Historie auffindbar.

.planning/quick/260921-a1d-windows-36-benutzerverwaltung-zeigt-bei-/260921-a1d-VERIFICATION.md

@@ -0,0 +1,101 @@
+---
+phase: quick-260921-a1d
+verified: 2026-09-21T05:39:19Z
+status: passed
+score: 7/7 must-haves verified
+covered_files:
+  - .planning/quick/260921-a1d-windows-36-benutzerverwaltung-zeigt-bei-/260921-a1d-PLAN.md
+  - .planning/quick/260921-a1d-windows-36-benutzerverwaltung-zeigt-bei-/260921-a1d-SUMMARY.md
+  - "apps/web/src/app/(portal)/admin/users/page.tsx"
+  - "apps/web/src/app/(portal)/admin/users/users-page.test.tsx"
+  - apps/web/src/messages/de.json
+  - apps/web/src/messages/en.json
+behavior_unverified: 0
+overrides_applied: 0
+---
+
+# Quick 260921-a1d: WINDOWS #36 (stille 403-Antworten) Verification Report
+
+**Task-Ziel:** Beide Haelften von WINDOWS #36 schliessen — (a) jede nicht-ok Serverantwort erzeugt eine
+sichtbare Meldung aus dem API-Rumpf, (b) ein ADMIN bekommt in der SUPER_ADMIN-Zeile keine Bearbeiten-/
+Loeschen-Knoepfe angeboten.
+
+**Verified:** 2026-09-21T05:39:19Z
+**Status:** passed
+
+## Goal Achievement
+
+### Observable Truths
+
+| # | Truth | Status | Evidence |
+|---|-------|--------|----------|
+| 1 | 403 beim Speichern zeigt sichtbare Meldung im offenen Formular mit Servertext | ✓ VERIFIED | `page.tsx:164-176` (`handleSubmit` Sonst-/Fang-Zweig, `formError`-Banner Z. 437-444); Test "zeigt den Servertext im offenen Formular..." (Z. 323-361) prueft `screen.getByText(...)` auf den tatsaechlichen Rahmensatz UND dass das Feld Benutzername weiterhin im Dokument steht |
+| 2 | 403 beim Loeschen zeigt sichtbare Meldung im offenen Loeschdialog | ✓ VERIFIED | `page.tsx:178-197` (`handleDelete`, `deleteError`-Banner Z. 472-479); Test Z. 167-208 prueft Servertext UND dass der Bestaetigungstext weiterhin im Dokument steht |
+| 3 | Unverwertbarer Rumpf oder Verbindungsfehler zeigen uebersetzte Ersatzmeldung, nie leere Reaktion | ✓ VERIFIED | `readApiMessage` (Z. 39-50) gibt bei Ausnahme/leerem Feld `null` zurueck, Aufrufer faellt auf `t('errors.generic')`; Fang-Zweige setzen `t('errors.network')`. Tests Z. 210-244 (Loeschen), 402-433 (Formular) pruefen exakt diese Texte im DOM |
+| 4 | Gescheitertes Laden der Liste meldet sich, zeigt nicht mehr faelschlich "Keine Benutzer gefunden" | ✓ VERIFIED | `fetchUsers` (Z. 83-99) setzt `loadError`; Rendern Z. 251 unterdrueckt "noUsers", wenn `loadError` gesetzt ist. Test Z. 435-457 prueft beides per `getByText`/`queryByText` |
+| 5 | ADMIN sieht in SUPER_ADMIN-Zeile weder Bearbeiten noch Loeschen; SUPER_ADMIN sieht beide | ✓ VERIFIED | `canManageRow` (Z. 212-213) spiegelt exakt die Serverbedingung; Knopfreihe Z. 316-335 rendert Bearbeiten/Loeschen nur bei `canManageRow(user)`. Tests Z. 516-549 pruefen beide Rollen per `within(row)` |
+| 6 | Alle neuen Texte in de.json UND en.json, identischer Schluesselsatz, kein fest verdrahteter Text | ✓ VERIFIED | Vier Schluessel unter `admin.users.errors` in beiden Dateien identisch; volle Katalogpruefung: 890 Schluessel je Sprache, 0 Abweichung (siehe Data-Flow-Trace); `grep` auf die deutschen Fehlertexte im TSX findet nichts — alles laeuft ueber `t(...)` |
+| 7 | apps/api unveraendert — ausgeblendete Knoepfe sind Ergonomie, kein Ersatz fuer die Serverpruefung | ✓ VERIFIED | `git diff --name-only 24f51e9..13b70df` zeigt ausschliesslich `apps/web`-Pfade; `apps/api/src/user/user.controller.ts` Z. 196-205/258-264 traegt den unveraenderten Zielrollen-Riegel, dessen Bedingung `canManageRow` client-seitig spiegelt |
+
+**Score:** 7/7 truths verified (0 present, behavior-unverified)
+
+### Required Artifacts
+
+| Artifact | Expected | Status | Details |
+|----------|----------|--------|---------|
+| `apps/web/src/app/(portal)/admin/users/page.tsx` | drei Fehlerzustaende, drei Meldungsflaechen, Rollenfilter | ✓ VERIFIED | `deleteError`/`formError`/`loadError`, drei `role="alert"`-Stellen (Z. 241, 439, 474), `canManageRow` (Z. 212-213) und dessen Anwendung (Z. 316, 324) |
+| `apps/web/src/app/(portal)/admin/users/users-page.test.tsx` | neue Vitest-Datei mit Verhaltensnachweisen | ✓ VERIFIED | Neue Datei, 12 Tests (4+5+3), alle pruefen gerenderten Text via `screen.getByText`/`within`, nicht nur State |
+| `apps/web/src/messages/de.json` / `en.json` | Zweig `admin.users.errors` mit vier Schluesseln je Sprache | ✓ VERIFIED | `serverRejected`, `generic`, `network`, `loadFailed` identisch in beiden Dateien |
+
+### Key Link Verification
+
+| From | To | Via | Status | Details |
+|------|-----|-----|--------|---------|
+| `readApiMessage(res)` | `t('errors.serverRejected', { detail })` -> sichtbares Banner | direkter Aufruf im Sonst-Zweig von `handleSubmit`/`handleDelete` | WIRED | Code Z. 164-176, 185-197; durch Tests Z. 167-208, 323-361 mit tatsaechlichem DOM-Text bestaetigt |
+| `currentUser.role` (auth-store) | Sichtbarkeit der Aktionsknoepfe je Zeile | `canManageRow(user)` nutzt `currentUser?.role` | WIRED | Code Z. 60, 212-213, 316, 324; Tests Z. 516-549 mit zwei Rollen |
+| `de.json`/`en.json` Schluesselgleichheit | `umlaut-guard.spec.ts` | Test laeuft ueber gesamten Katalog | WIRED | `pnpm --filter @tessera/web test -- --run messages/umlaut-guard` -> 3 Tests gruen; zusaetzlich eigene Node-Pruefung: 890/890 Schluessel identisch |
+
+### Behavioral Spot-Checks
+
+| Behavior | Command | Result | Status |
+|----------|---------|--------|--------|
+| Testbestand admin/users (neu+bestehend) | `pnpm --filter @tessera/web test -- --run 'admin/users'` | 2 Dateien, 20 Tests, alle gruen | ✓ PASS |
+| Gesamter Web-Testbestand (einmalig, voller Lauf) | `pnpm --filter @tessera/web test -- --run` | 66 Dateien, 459 Tests, alle gruen (Ausgangslage 65/447) | ✓ PASS |
+| Umlaut-Waechter | `pnpm --filter @tessera/web test -- --run 'messages/umlaut-guard'` | 3 Tests gruen | ✓ PASS |
+| Typpruefung `apps/web` | `pnpm --filter @tessera/web type-check` | Exit 0 | ✓ PASS |
+| Lint, ganzes Monorepo (frisch, ohne Cache) | `pnpm lint --force` | 5 von 5 Workspaces erfolgreich, keine neue Fehlerrang-Meldung | ✓ PASS |
+| Lint gezielt auf die zwei geaenderten Dateien | `biome lint page.tsx users-page.test.tsx` | 12 Warnungen (a11y/useButtonType, noExplicitAny — bestehende Muster), 0 Fehler | ✓ PASS |
+| `apps/api` unveraendert | `git diff --name-only 24f51e9 13b70df` | Nur `apps/web`-Pfade | ✓ PASS |
+| Lockfile/Version unveraendert | `git diff --stat 24f51e9 13b70df -- pnpm-lock.yaml package.json apps/web/package.json` | keine Ausgabe (kein Diff) | ✓ PASS |
+| Debt-Marker / dangerouslySetInnerHTML | `grep -n -E "TBD\|FIXME\|XXX\|TODO\|HACK\|PLACEHOLDER"` und `dangerouslySetInnerHTML` auf beiden Dateien | keine Treffer | ✓ PASS |
+| Kein fest verdrahteter Fehlertext im TSX | `grep` auf die deutschen Fehlerformulierungen in `page.tsx` | keine Treffer (alles ueber `t(...)`) | ✓ PASS |
+
+### Anti-Patterns Found
+
+Keine. Kein Debt-Marker, kein `dangerouslySetInnerHTML`, keine fest verdrahtete Zeichenkette, keine
+Umformatierung (Diffstats 42/38/44 Zeilen je Commit in `page.tsx`, keine Ganzdatei-Rewrites), kein
+Abhaengigkeits-/Lockfile-Wechsel.
+
+### Requirements Coverage
+
+| Requirement | Beschreibung | Status | Evidence |
+|-------------|-------------|--------|----------|
+| WINDOWS-36 | Benutzerverwaltung zeigt bei 403 keine Rueckmeldung; SUPER_ADMIN-Zeile bietet ADMIN keine Aktionsknoepfe | ✓ SATISFIED | Alle 7 Truths oben verifiziert; Ledger-Eintragung (`gsd-tools windows fixed 36`) laut SUMMARY bewusst dem Orchestrator ueberlassen, kein Teil dieses Ausfuehrungslaufs |
+
+### Human Verification Required
+
+Keine. Die im Plan vorgesehenen manuellen Sichtproben sind ausdruecklich als optional markiert ("die Tests
+decken das Verhalten bereits ab") und durch die automatisierten DOM-Assertions (nicht nur State-Pruefungen)
+tatsaechlich abgedeckt.
+
+### Gaps Summary
+
+Keine Luecken gefunden. Alle sieben Must-Have-Truths, alle drei Artefakte und alle drei Key-Links sind
+verifiziert; die Testzahlen (66 Dateien / 459 Tests), die Typpruefung (Exit 0) und der Lint-Lauf (5/5, keine
+neue Fehlermeldung) decken sich mit den SUMMARY-Angaben und wurden unabhaengig nachvollzogen. `apps/api` ist
+nachweislich unveraendert, der Zielrollen-Riegel im Controller bleibt die alleinige wirksame Grenze.
+
+---
+
+_Verified: 2026-09-21T05:39:19Z_
+_Verifier: Claude (gsd-verifier)_