From a3e8d0a15826a38fd89a661bd79103aecf603076 Mon Sep 17 00:00:00 2001 From: Schalli Date: Tue, 4 Aug 2026 19:06:54 +0200 Subject: [PATCH] docs(15-06): complete Gruppenverwaltung im Admin-UI plan --- .planning/REQUIREMENTS.md | 2 +- .planning/ROADMAP.md | 6 +- .planning/STATE.md | 19 +- .planning/WINDOWS.md | 35 +++ .../15-06-SUMMARY.md | 200 ++++++++++++++++++ 5 files changed, 251 insertions(+), 11 deletions(-) create mode 100644 .planning/WINDOWS.md create mode 100644 .planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-SUMMARY.md diff --git a/.planning/REQUIREMENTS.md b/.planning/REQUIREMENTS.md index 58499c9..accc786 100644 --- a/.planning/REQUIREMENTS.md +++ b/.planning/REQUIREMENTS.md @@ -122,7 +122,7 @@ | CONFIG-03 | Phase 14 | Complete | | UI-06 | Phase 14 | Complete | -| PERM-01 | Phase 15 | Pending | +| PERM-01 | Phase 15 | Complete | | PERM-02 | Phase 15 | Pending | | PERM-03 | Phase 15 | Complete | | PERM-04 | Phase 15 | Complete | diff --git a/.planning/ROADMAP.md b/.planning/ROADMAP.md index 067ef29..570533c 100644 --- a/.planning/ROADMAP.md +++ b/.planning/ROADMAP.md @@ -511,7 +511,7 @@ Plans: **Neue Modelle**: `Group` (tenantId, name, ldapDn?), `GroupMembership` (userId, groupId, source MANUAL|LDAP), `ModuleGrant` (tenantId, moduleId, groupId? | userId?) -**Plans**: 4/8 plans executed +**Plans**: 5/8 plans executed Plans: **Wave 1** @@ -527,7 +527,7 @@ Plans: **Wave 3** *(blocked on Wave 2 completion)* - [x] 15-03-PLAN.md — Freigabe-API für Gruppen und Benutzer plus Modulkatalog-Endpoint -- [ ] 15-06-PLAN.md — Gruppenverwaltung im Admin-UI und alle i18n-Schlüssel der Phase +- [x] 15-06-PLAN.md — Gruppenverwaltung im Admin-UI und alle i18n-Schlüssel der Phase **Wave 4** *(blocked on Wave 3 completion)* @@ -559,4 +559,4 @@ Phases execute in numeric order: 1 -> 2 -> 3 -> 4 -> 5 -> 6 -> 7 -> 8 -> 9 -> 10 | 12. Tender Notifications | 4/4 | In Progress| | | 13. Scraping Adapters & Cross-Source Deduplication | 6/6 | In Progress| | | 14. RSS, Email-Alert Ingestion & Module Rollout | 5/5 | In Progress| | -| 15. Modul-Berechtigungen: Gruppen & User-Grants | 4/8 | In Progress| | +| 15. Modul-Berechtigungen: Gruppen & User-Grants | 5/8 | In Progress| | diff --git a/.planning/STATE.md b/.planning/STATE.md index c59a884..c5bfde1 100644 --- a/.planning/STATE.md +++ b/.planning/STATE.md @@ -5,15 +5,15 @@ milestone_name: Ausschreibungs-Radar current_phase: 15 current_phase_name: modul-berechtigungen-gruppen-user-grants status: executing -stopped_at: Completed 15-03-PLAN.md -last_updated: "2026-08-04T16:43:23.536Z" +stopped_at: Completed 15-06-PLAN.md +last_updated: "2026-08-04T17:06:12.249Z" last_activity: 2026-08-04 last_activity_desc: Phase 15 execution started progress: total_phases: 15 completed_phases: 13 total_plans: 75 - completed_plans: 70 + completed_plans: 71 --- # Project State @@ -28,11 +28,11 @@ See: .planning/PROJECT.md (updated 2026-07-17) ## Current Position Phase: 15 (modul-berechtigungen-gruppen-user-grants) — EXECUTING -Plan: 5 of 8 +Plan: 6 of 8 Status: Ready to execute Last activity: 2026-08-04 — Phase 15 execution started -Progress: [█████████░] 93% +Progress: [██████████] 95% ## Performance Metrics @@ -104,6 +104,7 @@ Progress: [█████████░] 93% | Phase 15-modul-berechtigungen-gruppen-user-grants P02 | 11min | 2 tasks | 11 files | | Phase 15 P05 | 9min | 2 tasks | 5 files | | Phase 15 P03 | 32min | 3 tasks | 8 files | +| Phase 15 P06 | 35min | 3 tasks | 8 files | ## Accumulated Context @@ -243,6 +244,9 @@ Recent decisions affecting current work: - [Phase ?]: [15-03]: assertTargetBelongsToTenant als eigenständige Cross-Tenant-Prüfung eines referenzierten Fremdobjekts vor jedem Grant-Insert (T-15-01), kein Vorbild im Bestandscode - [Phase ?]: [15-03]: Kein Import von ModuleRegistryModule in GroupsModule — ModuleGrantsService injiziert ausschließlich PrismaService - [Phase ?]: [15-03]: getCatalogFlags liefert Map nur für aktive Module, Controller mappt fehlenden Eintrag auf beide Flags false +- [Phase ?]: [15-06]: Task 2/3-Split von page.tsx haelt jeden Task-Commit fuer sich buildbar (Task 2 ohne Import der erst in Task 3 entstehenden Komponenten) +- [Phase ?]: [15-06]: Gruppen-Erstellung mit sofortiger AD-Bindung laeuft zweistufig (POST /groups, dann PATCH ldapDn), weil CreateGroupDto aus 15-02 nur name entgegennimmt +- [Phase ?]: [15-06]: matrixCheckboxLabel/directCheckboxLabel (Wave-4-Schluessel) als next-intl-ICU-select mit granted-Parameter modelliert, ein Schluessel bedient freigeben/entziehen ### Pending Todos @@ -253,6 +257,7 @@ None yet. - [Roadmap v1.1]: DÖE OpenData API pagination/rate-limit parameters unverified (Swagger UI is JS-rendered) — resolve via a live API call during Phase 10 planning, not assumed from docs. - [Roadmap v1.1]: Whether AI-AG NetServer / cosinex VMP search pages require JS rendering is unverified — needs a Phase 13 start-of-phase spike before committing to playwright. - Phase 14 Plan 03 (14-03): Task 4 human-verify OPEN — needs a real portal-alert mailbox (incl. Exchange/EWS live path) from the operator before INGEST-05's Exchange path is production-ready. Tasks 1-3 complete and committed (4d6fbb1, 8983231, 1be6b15, 48e1252); API 387/387, web 144/144 green. +- Phase 15 Plan 06 (15-06): manueller Browser-Durchklick aus dem Plan-Verification-Block nicht ausgefuehrt (kein Browser-Tool in dieser Session) — vor /gsd-ship nachholen, siehe WINDOWS.md unrun-verify #1 ### Quick Tasks Completed @@ -284,7 +289,7 @@ Items acknowledged and carried forward from previous milestone close: ## Session Continuity -Last session: 2026-08-04T16:43:23.505Z -Stopped at: Completed 15-03-PLAN.md +Last session: 2026-08-04T17:06:12.218Z +Stopped at: Completed 15-06-PLAN.md Resume file: None Last activity: 2026-07-14 - Built LDAP per-user exclude/denylist filter (9d1323f), migration applied on live DB, verified via Playwright: sync deactivated 4 excluded service accounts (administrator/krbtgt/guest/dns-ldap), 2 real LDAP users stay active, 0 wrongly created diff --git a/.planning/WINDOWS.md b/.planning/WINDOWS.md new file mode 100644 index 0000000..9d12d96 --- /dev/null +++ b/.planning/WINDOWS.md @@ -0,0 +1,35 @@ +--- +schema_version: 1 +open_count: 1 +waived_count: 0 +fixed_count: 0 +total_count: 1 +last_updated: 2026-08-04T17:05:42.026Z +--- + +# Broken Windows Ledger + +> Cross-phase defect register. `/gsd-ship` blocks while `open_count > 0`. +> Waive with `gsd-tools windows waive ""` (reason required). +> Mark fixed with `gsd-tools windows fixed `. + +| id | phase | kind | file | line | description | status | reason | recorded_at | resolved_at | +|----|-------|------|------|------|-------------|--------|--------|-------------|-------------| +| 1 | 15 | unrun-verify | .planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-PLAN.md | | 15-06 : manueller Browser-Durchklick (Anlegen/Umbenennen/Standardmarkierung/AD-Bindung/Mitglieder/Loeschdialog + Fehlerpfade bei abgeschalteter API) nicht ausgefuehrt — kein Browser-Tool in dieser Session verfuegbar | open | | 2026-08-04T17:05:42.026Z | | + +````json +[ + { + "id": 1, + "kind": "unrun-verify", + "phase": "15", + "file": ".planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-PLAN.md", + "line": null, + "description": "15-06 : manueller Browser-Durchklick (Anlegen/Umbenennen/Standardmarkierung/AD-Bindung/Mitglieder/Loeschdialog + Fehlerpfade bei abgeschalteter API) nicht ausgefuehrt — kein Browser-Tool in dieser Session verfuegbar", + "status": "open", + "reason": "", + "recorded_at": "2026-08-04T17:05:42.026Z", + "resolved_at": null + } +] +```` diff --git a/.planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-SUMMARY.md b/.planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-SUMMARY.md new file mode 100644 index 0000000..51dc284 --- /dev/null +++ b/.planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-SUMMARY.md @@ -0,0 +1,200 @@ +--- +phase: 15-modul-berechtigungen-gruppen-user-grants +plan: 06 +subsystem: ui +tags: [nextjs, next-intl, react, admin, groups, ldap] + +# Dependency graph +requires: + - phase: 15-modul-berechtigungen-gruppen-user-grants + plan: 02 + provides: GroupsService/GroupsController — vollständiges CRUD für Gruppen und Mitgliedschaften, GroupsService.getImpact als Zahlenquelle für den Löschdialog (D-17) +provides: + - "/admin/groups Seite: Tabelle (Name/AD-Bindung/Standardgruppe/Mitglieder/Aktionen), Anlege/Umbenennen-Modal mit AD-Radio-Auswahl aus GET /ldap/groups (D-05, D-18), Mitglieder-Modal mit LDAP-Herkunfts-Sperre (D-19), Löschdialog mit konkreten Zahlen (D-17)" + - "Sechster Admin-Navigationseintrag 'Gruppen' mit eigenem Roster-Icon" + - "Sämtliche i18n-Schlüssel der gesamten Phase 15 in de.json/en.json — admin.groups.*, admin.users.grants.*, adminModules.grantsLink/grants.*/activationDialog.*, modules.accessDenied.*, marketplace.statusNoAccess/toastNoAccess, header.admin.groups" +affects: [15-07, 15-08] + +actuals: + tokens: 14500 + tasks: 3 + commits: 3 + +tech-stack: + added: [] + patterns: + - "AD-Bindungs-Auswahl per Radio-Liste (nicht Checkbox) aus derselben GET /ldap/groups-Discovery, die admin/ldap/page.tsx für den Import-Filter nutzt — Markup 1:1 übernommen, nur input type gewechselt" + - "Sichtbare Fehlerbehandlung für Lösch- und AD-Discovery-Fehlschläge (border-destructive/50 bg-destructive/10), bewusster Bruch mit dem sonst projektweiten silent-fail-Muster der Admin-Lösch-Dialoge — dokumentiert als Code-Kommentar an DeleteGroupDialog" + - "ICU-select-Syntax in next-intl-Werten ({granted, select, true {freigeben} other {entziehen}}) für Checkbox-aria-labels, die je nach Zustand zwei Verbformen brauchen, ohne einen zweiten i18n-Schlüssel anzulegen" + +key-files: + created: + - apps/web/src/app/(portal)/admin/groups/page.tsx + - apps/web/src/app/(portal)/admin/groups/components/GroupFormModal.tsx + - apps/web/src/app/(portal)/admin/groups/components/GroupMembersModal.tsx + - apps/web/src/app/(portal)/admin/groups/components/DeleteGroupDialog.tsx + - apps/web/src/app/(portal)/admin/groups/groups-page.test.tsx + modified: + - apps/web/src/messages/de.json + - apps/web/src/messages/en.json + - apps/web/src/components/admin/admin-sidebar.tsx + +key-decisions: + - "Task 2/3-Split von page.tsx: Task 2 committet die Seite mit Create/Edit-Modal verdrahtet, aber Mitglieder-/Lösch-State bereits deklariert und an die Aktionsbuttons gehängt, ohne die (noch nicht existierenden) Task-3-Komponenten zu importieren — hält jeden Task-Commit für sich buildbar, statt beide Dateien in einem Commit zu bündeln" + - "Erstellen einer Gruppe MIT sofortiger AD-Bindung läuft zweistufig (POST /groups, dann PATCH /groups/:id {ldapDn}), weil CreateGroupDto ausschliesslich name entgegennimmt (15-02) — keine Schema-/DTO-Änderung nötig, nur Client-seitige Sequenzierung" + - "matrixCheckboxLabel/directCheckboxLabel (Wave-4-Schlüssel für 15-07/15-08) als next-intl-ICU-select mit zusätzlichem granted-Parameter modelliert, um freigeben/entziehen aus einem einzigen Schlüssel zu bedienen, statt zwei separate Schlüssel anzulegen" + +requirements-completed: [PERM-01] + +coverage: + - id: D1 + description: "/admin/groups Tabelle mit Name/AD-Bindung/Standardgruppe/Mitglieder/Aktionen, leerer Zustand, optimistischer Standardgruppen-Stern-Toggle mit Rollback bei Fehler" + requirement: "PERM-01" + verification: + - kind: unit + ref: "apps/web/src/app/(portal)/admin/groups/groups-page.test.tsx (describe 'AdminGroupsPage': empty state, populated table, star-toggle PATCH + rollback — 4 Tests)" + status: pass + - kind: other + ref: "grep-Nachweise aus Task 2 acceptance_criteria (font-weight-Vokabular, sechs Sidebar-Einträge) + pnpm --filter @tessera/web run build" + status: pass + human_judgment: false + - id: D2 + description: "GroupFormModal: Anlegen/Umbenennen mit AD-Bindung per Radio-Auswahl aus GET /ldap/groups (D-05/D-18), sichtbarer Fehler-/Leerfall bei der AD-Suche statt stillem Leerbild" + requirement: "PERM-01" + verification: + - kind: other + ref: "grep-Nachweise aus Task 2 acceptance_criteria: type=\"radio\" vorhanden, type=\"checkbox\" abwesend, ldap/groups referenziert, discoverError/noResults sichtbar ausgeführt" + status: pass + - kind: other + ref: "pnpm --filter @tessera/web run build (Typecheck inkl. GroupFormModal) + pnpm --filter @tessera/web test (voller Lauf, 162/162 grün)" + status: pass + human_judgment: true + rationale: "Kein interaktiver Komponententest öffnet das Modal und klickt einen Radio-Eintrag — die Task-2-acceptance_criteria verlangten explizit nur grep-Nachweise für diese Datei, kein Render-Test. Der volle Klickpfad (Discover -> Radio wählen -> Speichern -> Chip erscheint) und insbesondere das Verhalten gegen ein echtes AD wurden in dieser Session nicht im Browser geprüft (kein Browser-Tool verfügbar)." + - id: D3 + description: "GroupMembersModal: Mitglieder-Chips mit Herkunfts-Badge, LDAP-Mitgliedschaften mit deaktiviertem Entfernen-Button (D-19), manuelles Hinzufügen per Benutzersuche" + requirement: "PERM-01" + verification: + - kind: unit + ref: "groups-page.test.tsx ('disables the remove button for LDAP-sourced members and keeps it active for MANUAL members')" + status: pass + - kind: other + ref: "grep-Nachweise: disabled/ldapManaged in GroupMembersModal.tsx" + status: pass + human_judgment: false + - id: D4 + description: "DeleteGroupDialog: laedt GET /groups/:id/impact, zeigt memberCount/grantCount konkret (D-17), bleibt bei fehlgeschlagenem DELETE offen mit sichtbarer Fehlermeldung (T-15-24, bewusste Abweichung vom silent-fail-Präzedenzfall)" + requirement: "PERM-01" + verification: + - kind: unit + ref: "groups-page.test.tsx ('shows both concrete numbers...', 'stays open and shows a visible error when DELETE fails')" + status: pass + - kind: other + ref: "grep-Nachweise: impact-Aufruf + border-destructive/50 bg-destructive/10 in DeleteGroupDialog.tsx" + status: pass + human_judgment: false + - id: D5 + description: "Vollständiges manuelles Durchklicken im Browser aus dem Plan--Block: Anlegen, Umbenennen, Standardmarkierung setzen/abschalten, AD-Bindung setzen/lösen, Mitglied hinzufügen/entfernen, Löschdialog mit gefüllter Gruppe, sowie AD-Suche/Löschen bei abgeschalteter API" + verification: [] + human_judgment: true + rationale: "Diese Session hatte kein Browser-/Playwright-Tool zur Verfügung (nur Read/Write/Edit/Bash/Skill) — der interaktive Durchlauf aus dem Plan--Block konnte nicht ausgeführt werden. Abgedeckt ist stattdessen: vollständiger Vitest-Lauf (162/162 grün), fehlerfreier Produktions-Build inkl. Next.js-Typecheck, sowie alle grep-basierten acceptance_criteria aus allen drei Tasks. In WINDOWS.md als unrun-verify vermerkt." + +duration: ca. 35min +completed: 2026-08-04 +status: complete +--- + +# Phase 15 Plan 06: Gruppenverwaltung im Admin-UI Summary + +**`/admin/groups` mit Tabelle, Anlege/Umbenennen-Dialog samt AD-Radio-Bindung, Mitglieder-Dialog mit LDAP-Herkunftssperre und Löschdialog mit konkreten Zahlen — plus sämtliche i18n-Schlüssel der gesamten Phase 15 in de.json/en.json (auch die erst von 15-07/15-08 benötigten).** + +## Performance + +- **Duration:** ca. 35 min +- **Started:** 2026-08-04T16:30:00Z (ungefähr — kein expliziter Start-Timestamp erfasst) +- **Completed:** 2026-08-04T17:05:00Z +- **Tasks:** 3 +- **Files modified:** 8 + +## Accomplishments + +- `de.json`/`en.json` tragen deckungsgleich (762 Schlüssel) alle Übersetzungen der gesamten Phase 15 — nicht nur für `/admin/groups`, sondern auch die von den Wave-4-Plänen 15-07/15-08 benötigten Namensräume (`admin.users.grants.*`, `adminModules.grantsLink`/`grants.*`/`activationDialog.*`, `modules.accessDenied.*`, `marketplace.statusNoAccess`/`toastNoAccess`), damit diese Pläne parallel laufen können, ohne die Übersetzungsdateien anzufassen +- `AdminSidebar` hat einen sechsten Eintrag "Gruppen" → `/admin/groups` mit einem eigenen Roster-/Listen-Icon (Lucide `list`-Glyphe), optisch klar vom Personen-Icon des Benutzer-Eintrags unterschieden +- `/admin/groups` zeigt eine Tabelle mit Name, AD-Bindungs-Badge, Standardgruppen-Stern-Toggle (optimistisch mit Rollback bei Fehler, volle Refetch bei Erfolg wegen der serverseitigen Exklusivität aus D-13), Mitgliederzahl und den drei Aktionen Bearbeiten/Mitglieder/Löschen +- `GroupFormModal` bindet eine Gruppe an eine AD-Gruppe ausschliesslich über eine Radio-Auswahl aus der bestehenden `GET /ldap/groups`-Discovery (D-05, D-18) — kein Freitextfeld für einen DN, damit T-15-23 (getippter DN im späteren LDAP-Filter) strukturell ausgeschlossen bleibt. Fehlschlag oder Leerergebnis der AD-Suche erscheinen sichtbar (`ldapBind.discoverError`/`.noResults`) statt einer stillen Leerliste +- `GroupMembersModal` zeigt Mitglieder als Chips mit Herkunfts-Badge; bei Herkunft `LDAP` ist der Entfernen-Button deaktiviert mit Tooltip "Wird über AD-Sync verwaltet" (D-19) — nur der Sync darf diese Mitgliedschaft entfernen +- `DeleteGroupDialog` lädt `GET /groups/:id/impact` und interpoliert `memberCount`/`grantCount` konkret in den Warntext (D-17); bricht bewusst mit dem projektweiten silent-fail-Präzedenzfall der übrigen Lösch-Dialoge, weil ein unbemerkter Fehlschlag hier einen Admin im Glauben liesse, eine Gruppe samt Freigaben sei weg, während sie weiterhin Zugriff gewährt (T-15-24) — der Dialog bleibt bei einem Fehlschlag offen und zeigt die Meldung im bestehenden `error`-Div-Muster +- 7 neue Komponententests in `groups-page.test.tsx`: leerer Zustand, gefüllte Tabelle, Stern-Toggle (Erfolg + Rollback bei Fehler), deaktivierter vs. aktiver Entfernen-Button je nach Mitgliedschafts-Herkunft, Löschtext mit beiden Zahlen, sichtbare Fehlermeldung bei fehlgeschlagenem Löschen — voller Web-Testlauf 162/162 grün, `pnpm --filter @tessera/web run build` fehlerfrei + +## Task Commits + +Jeder Task wurde atomar committet: + +1. **Task 1: Alle i18n-Schlüssel der Phase und der sechste Admin-Navigationseintrag** - `90dc398` (feat) +2. **Task 2: Gruppenübersicht mit Anlege-, Umbenennen- und AD-Bindungs-Dialog** - `c3ba1f7` (feat) +3. **Task 3: Mitglieder-Dialog und Löschdialog mit konkreten Zahlen** - `4985e43` (feat) + +**Plan metadata:** siehe Commit dieser SUMMARY.md (docs: complete plan) + +## Files Created/Modified + +- `apps/web/src/app/(portal)/admin/groups/page.tsx` - Gruppenübersicht, State/Fetch-Logik, Standardgruppen-Stern-Toggle, hängt alle drei Dialoge ein +- `apps/web/src/app/(portal)/admin/groups/components/GroupFormModal.tsx` - Anlegen/Umbenennen inkl. AD-Radio-Bindung +- `apps/web/src/app/(portal)/admin/groups/components/GroupMembersModal.tsx` - Mitglieder-Chips + manuelles Hinzufügen per Benutzersuche +- `apps/web/src/app/(portal)/admin/groups/components/DeleteGroupDialog.tsx` - Löschdialog mit `impact`-Zahlen und sichtbarem Fehlerfall +- `apps/web/src/app/(portal)/admin/groups/groups-page.test.tsx` - 7 Komponententests +- `apps/web/src/messages/de.json`, `en.json` - alle i18n-Schlüssel der gesamten Phase 15 +- `apps/web/src/components/admin/admin-sidebar.tsx` - sechster Navigationseintrag + +## Decisions Made + +- Task 2/3-Split von `page.tsx`: Task 2 committet die Seite mit Create/Edit-Modal verdrahtet und Mitglieder-/Lösch-State bereits deklariert, aber ohne Import der (in Task 2 noch nicht existierenden) Task-3-Komponenten — jeder Task-Commit bleibt für sich buildbar +- Gruppen-Erstellung mit sofortiger AD-Bindung läuft zweistufig (`POST /groups`, dann `PATCH /groups/:id {ldapDn}`), weil `CreateGroupDto` aus 15-02 ausschliesslich `name` entgegennimmt — keine Schema-/DTO-Änderung, reine Client-Sequenzierung +- `matrixCheckboxLabel`/`directCheckboxLabel` (Wave-4-Schlüssel für 15-07/15-08) als next-intl-ICU-`select` mit einem zusätzlichen `granted`-Parameter modelliert (`{module} für Gruppe {group} {granted, select, true {freigeben} other {entziehen}}`), damit ein einziger Schlüssel beide Aria-Label-Varianten (freigeben/entziehen) bedient, statt zwei separate Schlüssel für denselben Text-Baustein anzulegen +- `DeleteGroupDialog` behandelt einen fehlgeschlagenen `impact`-Abruf (nicht nur den Lösch-Aufruf selbst) sichtbar und deaktiviert den Löschen-Button, statt mit `memberCount: 0`/`grantCount: 0` eine falsche Zahl zu zeigen — D-17 verlangt konkrete, korrekte Zahlen, ein Fallback auf 0 wäre irreführend + +## Deviations from Plan + +### Auto-fixed Issues + +**1. [Rule 2 - fehlende Funktionalität] DeleteGroupDialog behandelt einen fehlgeschlagenen impact-Abruf sichtbar** +- **Found during:** Task 3, beim Implementieren von `DeleteGroupDialog` +- **Issue:** Der Plan beschreibt nur den Fehlerfall des eigentlichen `DELETE`-Aufrufs explizit; ein fehlschlagender `GET /groups/:id/impact`-Aufruf hätte sonst entweder eine `undefined`-Anzeige oder (schlimmer) eine falsche `0`/`0`-Zahl gezeigt — beides würde D-17 verletzen, das konkrete, korrekte Zahlen verlangt +- **Fix:** `impactError`-State zeigt bei fehlgeschlagenem Impact-Abruf den Fehler-Div statt des Warntexts und deaktiviert den Löschen-Button, bis die Zahlen tatsächlich geladen sind +- **Files modified:** `apps/web/src/app/(portal)/admin/groups/components/DeleteGroupDialog.tsx` +- **Commit:** `4985e43` + +**2. [Rule 2 - fehlende Funktionalität] ICU-select für matrixCheckboxLabel/directCheckboxLabel statt reiner Freigeben-Formulierung** +- **Found during:** Task 1, beim Anlegen der Wave-4-Schlüssel `admin.groups.grants.matrixCheckboxLabel` und `admin.users.grants.directCheckboxLabel` +- **Issue:** Der Copywriting Contract des UI-SPEC beschreibt für dieselbe Checkbox zwei Textvarianten ("… freigeben" bzw. "… entziehen" je nach Zustand), der Plan listet aber nur je einen Schlüssel mit den Parametern Modul/Gruppe bzw. Modul/Benutzer — ohne einen dritten Parameter hätte der Schlüssel nur eine der beiden Zustandsvarianten abdecken können +- **Fix:** Beide Schlüssel nutzen next-intl-kompatible ICU-`select`-Syntax mit einem zusätzlichen `granted`-Boolean-Parameter, der zwischen den beiden Verbformen wählt — bleibt bei genau einem Schlüssel pro aria-label, wie im Plan vorgegeben +- **Files modified:** `apps/web/src/messages/de.json`, `apps/web/src/messages/en.json` +- **Commit:** `90dc398` + +--- + +**Total deviations:** 2 auto-fixed (beide Rule 2 — fehlende Funktionalität) +**Impact on plan:** Beide Ergänzungen waren für Korrektheit (D-17) bzw. Vollständigkeit der Wave-4-Schlüssel notwendig. Kein Scope Creep — beide bleiben innerhalb der im Plan beschriebenen Dateien und Verantwortlichkeiten. + +## Issues Encountered + +- Diese Session lief ohne Browser-/Playwright-Tool (nur Read/Write/Edit/Bash/Skill verfügbar). Der im Plan unter `` geforderte manuelle Durchklick-Test im Browser (Anlegen, Umbenennen, Standardmarkierung, AD-Bindung setzen/lösen, Mitglied hinzufügen/entfernen, Löschdialog mit gefüllter Gruppe, sowie AD-Suche/Löschen bei abgeschalteter API) konnte nicht ausgeführt werden. Abgedeckt ist stattdessen: voller Vitest-Lauf (162/162 grün, davon 7 neue Tests für diesen Plan), fehlerfreier Produktions-Build inkl. Next.js-Typecheck, und alle grep-basierten `acceptance_criteria` aus allen drei Tasks. Als `coverage`-Eintrag D5 (`human_judgment: true`) und in `.planning/WINDOWS.md` als `unrun-verify` vermerkt — ein menschlicher Durchklick-Test vor dem Ship dieser Phase wird empfohlen. +- Die lokale Dev-DB hat nur einen Mandanten mit einer Gruppe ("Alle Benutzer", laut lokaler Notiz aktuell `isDefault = false`). Dieser Plan hat die DB in dieser Session nicht angefasst — kein Stern-Toggle wurde live gegen die lokale API ausgeführt (siehe Issue oben), der DB-Zustand ist unverändert gegenüber dem Sessionstart. + +## User Setup Required + +None - keine externe Service-Konfiguration nötig. + +## Next Phase Readiness + +- `de.json`/`en.json` sind vollständig für die gesamte Phase 15 vorbereitet — 15-07 und 15-08 können parallel laufen, ohne die Übersetzungsdateien anzufassen +- `/admin/groups` ist vollständig nutzbar (PERM-01): Gruppen anlegen/umbenennen/löschen, Mitglieder manuell zuweisen/entfernen, AD-Bindung setzen/lösen, Standardgruppe markieren +- Empfehlung vor `/gsd-ship` dieser Phase: einmaliger manueller Durchklick-Test im Browser (siehe Issues Encountered/D5), da diese Session ohne Browser-Tool lief +- Kein neuer Blocker aus diesem Plan; 15-04 (AD-Gruppen-Mitgliedschafts-Sync) blieb wie in den Files-to-read vermerkt an einem offenen Human-Verify-Checkpoint stehen (nicht Teil dieses Plans) — dessen `15-04-SUMMARY.md` existiert entsprechend noch nicht + +--- +*Phase: 15-modul-berechtigungen-gruppen-user-grants* +*Completed: 2026-08-04* + +## Self-Check: PASSED + +Alle neun in dieser SUMMARY genannten Dateien existieren auf der Platte, alle drei Task-Commit-Hashes (`90dc398`, `c3ba1f7`, `4985e43`) sind im Git-Log auffindbar.