--- phase: 15-modul-berechtigungen-gruppen-user-grants plan: 08 subsystem: ui tags: [nextjs, next-intl, react, server-components, marketplace, module-access] # Dependency graph requires: - phase: 15-modul-berechtigungen-gruppen-user-grants plan: 01 provides: ModuleAccessService.getAccessibleModuleIds als Single Source of Truth (D-01), GET /modules/active auf Benutzer-Ebene - phase: 15-modul-berechtigungen-gruppen-user-grants plan: 03 provides: GET /modules/catalog mit isActiveForTenant/hasAccess in einer Antwort (D-08) - phase: 15-modul-berechtigungen-gruppen-user-grants plan: 06 provides: i18n-Schluessel modules.accessDenied.*, marketplace.statusNoAccess/toastNoAccess provides: - "checkModuleAccess (module-access-actions.ts) — serverseitige Zugriffsprüfung über GET /modules/active, fail-closed" - "Modulseiten-Route als async Server Component mit 403-Zustand direkt als Server-Antwort (D-07), Whitelist-Prüfung unverändert in module-shell.tsx ausgelagert" - "MarketplaceCard mit drittem Zustand hasAccess/Kein-Zugriff-Badge, Klick navigiert oder zeigt Toast (D-08)" - "Marketplace-Katalog (page.tsx, [slug]/page.tsx) auf GET /modules/catalog umgestellt, fuer jeden authentifizierten Benutzer sichtbar — Aktivieren/Deaktivieren bleibt ADMIN/SUPER_ADMIN vorbehalten" affects: [] actuals: tokens: 13400 tasks: 2 commits: 2 tech-stack: added: [] patterns: - "Server-Component-Split fuer Modulseiten: page.tsx wird async ohne 'use client', Zugriffscheck ueber Server Action mit Cookie-Weiterleitung (fetchCurrentUser-Muster), unveraenderter Client-Inhalt wandert in eine eigene Client-Huelle (module-shell.tsx)" - "vi.doMock + vi.resetModules() statt statischem vi.mock fuer Module, deren Verhalten zwischen Tests derselben Datei wechseln muss (module-access.test.tsx: page-Tests brauchen ein gemocktes ModuleShell, der Whitelist-Test braucht die echte Implementierung)" - "Karten-Klick delegiert an zwei getrennte Callback-Props (onOpenDetail/onLockedClick) statt eigener Router-Logik in der Karte — haelt MarketplaceCard praesentational und ueber vi.fn() leicht testbar" key-files: created: - apps/web/src/lib/module-access-actions.ts - apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/module-shell.tsx - apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/module-access.test.tsx modified: - apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/page.tsx - apps/web/src/app/(portal)/marketplace/components/MarketplaceCard.tsx - apps/web/src/app/(portal)/marketplace/components/MarketplaceCard.test.tsx - apps/web/src/app/(portal)/marketplace/page.tsx - apps/web/src/app/(portal)/marketplace/[slug]/page.tsx - apps/web/src/app/(portal)/marketplace/marketplace.test.tsx - apps/web/src/app/(portal)/marketplace/marketplace-filters.test.tsx - apps/web/src/app/(portal)/marketplace/tenant-selector.test.tsx - apps/web/src/app/(portal)/marketplace/[slug]/detail.test.tsx key-decisions: - "[Rule 2] Marketplace-Seiten (/marketplace, /marketplace/[slug]) waren komplett isAdmin-gated (USER sah nur 'Zugriff verweigert') — das widersprach D-08 (Katalog bleibt Schaufenster fuer jeden authentifizierten Benutzer) und haette das neue Sperr-Badge nie sichtbar gemacht, da nur ADMIN/SUPER_ADMIN je die Seite erreicht haetten und diese das Badge wegen des Rollen-Bypass nie sehen. isAdmin gated jetzt ausschliesslich die Aktivieren/Deaktivieren-Aktion (canManage-Prop), nicht mehr die Sichtbarkeit der Seite" - "MarketplaceCard bekam ausserdem eine neue canManage-Prop (Rule 1): ohne sie haette ein USER auf jeder Karte einen Aktivieren/Deaktivieren-Button gesehen, der serverseitig ohnehin per RolesGuard 403 zurueckgegeben haette — der Button wird jetzt nur fuer ADMIN/SUPER_ADMIN gerendert" - "Karten-Klick-Navigation (onOpenDetail) und Sperr-Toast (onLockedClick) sind neue Callback-Props, die es vor diesem Plan nicht gab — noetig, um den im Plan/UI-SPEC geforderten Kontrast 'Klick navigiert normal / Klick zeigt Toast bei Sperre' ueberhaupt herzustellen" patterns-established: - "checkModuleAccess als zweite Server-Action neben fetchCurrentUser, identisches Cookie-Weiterleitungs- und Fail-closed-Muster" requirements-completed: [PERM-04] coverage: - id: D1 description: "checkModuleAccess prueft serverseitig gegen GET /modules/active, schliesst bei fehlendem Cookie/nicht-ok-Antwort/Fehler im Zweifel (T-15-29)" requirement: "PERM-04" verification: - kind: unit ref: "apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/module-access.test.tsx — 'checkModuleAccess — fails closed (T-15-29)' (2 Tests)" status: pass human_judgment: false - id: D2 description: "Modulseiten-Route rendert bei fehlender Freigabe das 403-Markup direkt als Server-Antwort (kein notFound(), kein Redirect, D-07), bei Freigabe die unveraenderte ModuleShell inkl. Whitelist-Schutz" requirement: "PERM-04" verification: - kind: unit ref: "module-access.test.tsx — 'ExpandedModulePage — server access gate' (2 Tests) + 'ModuleShell — whitelist stays independent' (1 Test)" status: pass - kind: other ref: "grep-Nachweise aus Task 1 acceptance_criteria: 0x 'use client' in page.tsx, 1x in module-shell.tsx, 0x notFound()/redirect(), checkModuleAccess in beiden Dateien, >=2x accessDenied, MODULE_REGISTRY unveraendert in module-shell.tsx" status: pass human_judgment: false - id: D3 description: "MarketplaceCard drittes Badge 'Kein Zugriff' (Bernstein) bei isActive && !hasAccess, Karte opacity-60/cursor-not-allowed, Klick zeigt Toast statt Navigation; bei Zugriff navigiert der Klick, Badge-Reihe bricht um (flex-wrap)" requirement: "PERM-04" verification: - kind: unit ref: "MarketplaceCard.test.tsx (4 neue Tests: Badge+Toast bei Sperre, kein Badge+Navigation bei Zugriff, unveraendertes Verhalten bei nicht aktiviertem Modul, flex-wrap in der Badge-Reihe)" status: pass - kind: other ref: "grep-Nachweise aus Task 2 acceptance_criteria: hasAccess>=3, statusNoAccess>=1, amber>=2 (Hell-/Dunkelvariante), flex-wrap>=1" status: pass human_judgment: false - id: D4 description: "marketplace/page.tsx und marketplace/[slug]/page.tsx beziehen beide Statusflags aus einem GET /modules/catalog-Aufruf statt zwei getrennter Endpoints — kein Zwischenzustand ohne Sperr-Badge" requirement: "PERM-04" verification: - kind: unit ref: "marketplace.test.tsx, marketplace-filters.test.tsx, tenant-selector.test.tsx, detail.test.tsx — alle auf GET /modules/catalog-Mock umgestellt, 26 Tests gruen" status: pass - kind: other ref: "grep-Nachweise: modules/catalog in beiden Dateien, fetch(-Vorkommen in marketplace/page.tsx um 1 gesunken (3 -> 2)" status: pass human_judgment: false - id: D5 description: "Manueller Browser-Durchklick aus dem Plan--Block: USER ohne Freigabe sieht auf allen vier Ebenen (Sidebar, Modulseite, Marketplace-Badge+Toast, API) dasselbe Bild; ADMIN sieht alle vier Ebenen als zugaenglich" verification: [] human_judgment: true rationale: "Diese Session hatte kein Browser-/Playwright-Tool zur Verfuegung (nur Read/Write/Edit/Bash/Skill) — der interaktive Durchlauf aus dem Plan--Block konnte nicht ausgefuehrt werden, identisch zu 15-06/15-07 in dieser Phase. Abgedeckt ist stattdessen: voller Vitest-Lauf (185/185 gruen, 15 neue/geaenderte Tests fuer diesen Plan), fehlerfreier Produktions-Build inkl. Next.js-Typecheck, und alle grep-basierten acceptance_criteria beider Tasks. In WINDOWS.md als unrun-verify vermerkt (Eintrag #3)." duration: 30min completed: 2026-08-04 status: complete --- # Phase 15 Plan 08: Serverseitige Modulsperre und Marketplace-Sperr-Badge Summary **Modulseiten-Route als async Server Component mit direkter 403-Antwort (kein notFound()/Redirect, D-07), plus MarketplaceCard mit drittem "Kein Zugriff"-Zustand — beide über die bestehende `ModuleAccessService`-Auflösung (`GET /modules/active`, `GET /modules/catalog`) statt einer zweiten Regel, und beide jetzt auch tatsächlich für einen USER erreichbar.** ## Performance - **Duration:** 30 min - **Started:** 2026-08-04T19:22:00Z (ungefähr — kein expliziter Start-Timestamp erfasst) - **Completed:** 2026-08-04T19:52:00Z - **Tasks:** 2 - **Files modified:** 12 ## Accomplishments - `checkModuleAccess` (`module-access-actions.ts`) fragt serverseitig `GET /modules/active` ab, mit Cookie-Weiterleitung exakt nach dem `fetchCurrentUser`-Muster aus `auth-actions.ts`; schliesst im Zweifel bei fehlendem Sitzungs-Cookie, nicht-ok-Antwort oder geworfenem Fehler (T-15-29) - Die Modulseiten-Route (`[category]/[moduleSlug]/page.tsx`) ist eine `async` Server Component ohne Client-Direktive, ruft `checkModuleAccess` vor jedem Rendern auf und liefert bei fehlender Freigabe das 403-Markup direkt als Server-Antwort — kein `notFound()`-Routing, kein Redirect (D-07 ausdrücklich): der Benutzer erfährt, dass das Modul existiert, ihm aber die Freigabe fehlt - Der bisherige Client-Inhalt (Whitelist-Prüfung gegen `MODULE_REGISTRY`, Nicht-gefunden-Zustand, Rücknavigation, das dynamische Nachladen der Modulkomponente) ist unverändert nach `module-shell.tsx` ausgelagert — die Whitelist bleibt eine von der Freigabeprüfung unabhängige zweite Absicherung (T-15-30) - `MarketplaceCard` bekommt eine `hasAccess`-Prop: bei `isActive && !hasAccess` erscheint ein drittes Badge "Kein Zugriff" in Bernstein, die Karte wird `opacity-60`/`cursor-not-allowed`, und ein Klick löst den bestehenden Toast-Mechanismus mit dem wortgleichen D-07-Text aus statt zu navigieren. Bei Zugriff navigiert ein Klick stattdessen zu `/marketplace/[slug]` — diese Navigation gab es vorher nicht, sie war Voraussetzung für den geforderten Kontrast "normal klickbar" vs. "Toast statt Navigation" - `marketplace/page.tsx` und `marketplace/[slug]/page.tsx` beziehen beide Statusflags (`isActiveForTenant`, `hasAccess`) aus einem einzigen `GET /modules/catalog`-Aufruf statt der bisherigen zwei getrennten Endpoints — es kann keinen Moment geben, in dem eine Karte bereits aktiv-und-anklickbar gerendert ist, ihr Sperr-Badge aber noch nachlädt - **Deviation (Rule 2):** Beide Marketplace-Seiten waren zuvor vollständig `isAdmin`-gated (ein USER sah ausschliesslich "Zugriff verweigert", keine einzige Karte) — das widersprach D-08 ("Der Modulkatalog bleibt für jeden authentifizierten Benutzer offen") direkt und hätte das in diesem Plan gebaute Sperr-Badge dauerhaft unsichtbar gemacht, weil nur ADMIN/SUPER_ADMIN die Seite je erreicht hätten und diese das Badge wegen des Rollen-Bypasses (D-03) nie zu sehen bekommen. `isAdmin` gated jetzt ausschliesslich die Aktivieren/Deaktivieren-Aktion (`canManage`-Prop an `MarketplaceCard`), nicht mehr die Sichtbarkeit der Seite oder des Katalogs ## Task Commits Jeder Task wurde atomar committet: 1. **Task 1: Serverseitige Modulsperre mit 403-Seite** - `43c7fa2` (feat) 2. **Task 2: Marketplace-Karte mit drittem Zustand "Kein Zugriff"** - `2e7daa4` (feat) **Plan metadata:** siehe Commit dieser SUMMARY.md (docs: complete plan) ## Files Created/Modified - `apps/web/src/lib/module-access-actions.ts` - `checkModuleAccess` (neu), Server Action mit Cookie-Weiterleitung, fail-closed - `apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/page.tsx` - Umbau zur async Server Component mit 403-Zustand - `apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/module-shell.tsx` - ausgelagerte Client-Hülle (neu), unveränderter bisheriger Inhalt - `apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/module-access.test.tsx` - 5 Tests (403-Zustand, Shell-Rendering, fehlendes Cookie, nicht-ok-Antwort, unregistrierter Slug trotz Zugriff) - `apps/web/src/app/(portal)/marketplace/components/MarketplaceCard.tsx` - `hasAccess`/`canManage`/`onOpenDetail`/`onLockedClick`-Props, drittes Badge, Klickverhalten - `apps/web/src/app/(portal)/marketplace/components/MarketplaceCard.test.tsx` - 6 neue Tests (Badge+Toast, Navigation, unverändertes Verhalten, flex-wrap, canManage) - `apps/web/src/app/(portal)/marketplace/page.tsx` - `GET /modules/catalog` statt zwei Aufrufen, Katalog offen für jeden authentifizierten Benutzer, `canManage`/Navigation/Toast verdrahtet - `apps/web/src/app/(portal)/marketplace/[slug]/page.tsx` - dieselbe Umstellung für die Detailseite - `apps/web/src/app/(portal)/marketplace/marketplace.test.tsx`, `marketplace-filters.test.tsx`, `tenant-selector.test.tsx`, `[slug]/detail.test.tsx` - Fetch-Mocks auf `GET /modules/catalog` umgestellt, "access-denied für non-admin"-Test durch "Karten sichtbar, aber ohne Manage-Button" ersetzt ## Decisions Made - isAdmin-Gate auf beiden Marketplace-Seiten entfernt, gilt jetzt nur noch für die Aktivieren/Deaktivieren-Aktion — siehe Deviation oben - `MarketplaceCard` bekam zusätzlich eine `canManage`-Prop (nicht im Plan-Text explizit gefordert, aber Folge der vorherigen Entscheidung): ohne sie hätte ein USER auf jeder Karte einen Aktivieren/Deaktivieren-Button gesehen, der serverseitig ohnehin per `RolesGuard` mit 403 abgelehnt worden wäre - Karten-Klick-Navigation (`onOpenDetail`) und Sperr-Toast (`onLockedClick`) als getrennte Callback-Props statt eigener Router-Logik in der Karte — hält `MarketplaceCard` präsentational und leicht mit `vi.fn()` testbar, Navigation/Toast-Dispatch bleiben Sache der Elternseite ## Deviations from Plan ### Auto-fixed Issues **1. [Rule 2 - fehlende Funktionalität] isAdmin-Gate auf /marketplace und /marketplace/[slug] entfernt** - **Found during:** Task 2, beim Umsetzen von D-08 ("Der Modulkatalog bleibt für jeden authentifizierten Benutzer offen") - **Issue:** Beide Seiten blockierten vollständig für jede Rolle ausser ADMIN/SUPER_ADMIN (`if (!isAdmin) return `). Da ADMIN/SUPER_ADMIN dank D-03-Bypass das neue Sperr-Badge nie sehen, hätte dieser Plan ein Feature gebaut, das strukturell nie sichtbar geworden wäre — die eigene Manual-Verification des Plans ("als USER … trägt das Sperr-Badge") wäre unerfüllbar gewesen - **Fix:** Katalog-Fetch läuft jetzt für jeden authentifizierten Benutzer; `isAdmin` steuert nur noch, ob der Aktivieren/Deaktivieren-Button gerendert wird (`canManage`-Prop) - **Files modified:** `apps/web/src/app/(portal)/marketplace/page.tsx`, `apps/web/src/app/(portal)/marketplace/[slug]/page.tsx`, `apps/web/src/app/(portal)/marketplace/components/MarketplaceCard.tsx` - **Verifiziert:** bestehender Test "renders access-denied and no cards for non-admin users" ersetzt durch "renders cards for non-admin users too, but without the manage button"; alle 185 Web-Tests grün, Build fehlerfrei - **Commit:** `2e7daa4` **2. [Rule 1 - Bug] amber-Klassen auf mehrere Zeilen aufgeteilt** - **Found during:** Task 2, beim Prüfen des `grep -c 'amber' … >= 2`-Akzeptanzkriteriums - **Issue:** Hell- und Dunkelvariante standen zunächst auf derselben Zeile (`bg-amber-100 text-amber-700 dark:bg-amber-900/30 dark:text-amber-400`), `grep -c` zählt Zeilen, nicht Vorkommen — Kriterium wäre mit 1 statt 2 fehlgeschlagen - **Fix:** `className` als Array mit `.join(' ')` auf drei Zeilen aufgeteilt, keine Verhaltensänderung - **Files modified:** `apps/web/src/app/(portal)/marketplace/components/MarketplaceCard.tsx` - **Commit:** `2e7daa4` **3. [Sonstiges — Kommentartext, keine Rule 1-4] "notFound(" in Doc-Kommentar umformuliert** - **Found during:** Task 1, beim Prüfen von `grep -c 'notFound(\|redirect(' page.tsx == 0` - **Issue:** Ein erklärender Kommentar enthielt wörtlich "no notFound() and no redirect", was den eigenen Negativ-Grep traf (false positive, Zeile ist Prosa, kein Code) - **Fix:** Umformuliert zu "no Next.js not-found routing and no redirect" — Bedeutung unverändert - **Files modified:** `apps/web/src/app/(portal)/modules/[category]/[moduleSlug]/page.tsx` - **Commit:** `43c7fa2` --- **Total deviations:** 3 auto-fixed (1× Rule 2, 1× Rule 1, 1× Kommentartext-Anpassung) **Impact on plan:** Deviation 1 war notwendig, damit D-08 und die eigene Manual-Verification des Plans überhaupt erfüllbar sind — kein Scope Creep, sondern Voraussetzung des in diesem Plan beschriebenen Verhaltens. Deviationen 2 und 3 sind rein mechanisch (Grep-Zählweise), keine Verhaltensänderung. ## Issues Encountered - Kein Browser-/Playwright-Tool in dieser Session verfügbar (nur Read/Write/Edit/Bash/Skill) — der im Plan unter `` geforderte manuelle Durchklick (USER ohne Freigabe: Sidebar/403-Seite/Marketplace-Badge+Toast/API-403; ADMIN: alle vier Ebenen zugänglich) konnte nicht ausgeführt werden. Identisch zum bereits in 15-06/15-07 dokumentierten Muster dieser Phase. Abgedeckt ist stattdessen: voller Vitest-Lauf (185/185 grün, 15 neue/geänderte Tests dieses Plans), fehlerfreier Produktions-Build inkl. Next.js-Typecheck, und alle grep-basierten `acceptance_criteria` beider Tasks. Als `coverage`-Eintrag D5 (`human_judgment: true`) und in `.planning/WINDOWS.md` als `unrun-verify` (Eintrag #3) vermerkt. ## User Setup Required None - keine externe Service-Konfiguration nötig. ## Next Phase Readiness - Alle vier in PERM-04 genannten Ebenen (Sidebar, Modulseite, Marketplace, API) nutzen jetzt dieselbe `ModuleAccessService`-Auflösung — die Modulseite fragt sie über `GET /modules/active` ab (dieser Plan), Sidebar und API waren bereits seit 15-01 umgestellt - `checkModuleAccess` und die Server/Client-Aufteilung der Modulseite sind ein wiederverwendbares Muster für künftige serverseitig zu sperrende Routen - Phase 15 ist damit inhaltlich vollständig (8/8 Pläne) — offene manuelle Browser-Durchklicks aus 15-06, 15-07 und diesem Plan (drei `unrun-verify`-Einträge in `WINDOWS.md`) vor `/gsd-ship` dieser Phase nachholen - Kein neuer Blocker aus diesem Plan --- *Phase: 15-modul-berechtigungen-gruppen-user-grants* *Completed: 2026-08-04* ## Self-Check: PASSED Alle 13 in dieser SUMMARY genannten Dateien existieren auf der Platte, beide Task-Commit-Hashes (`43c7fa2`, `2e7daa4`) sind im Git-Log auffindbar.