schalli
efcf11c988
Verifikation unabhaengig nachgemessen: 651/651 API-Tests, 233/233 Web-Tests, beide Typpruefungen sauber. Der Sicherheitsfund T-Q3-01 wurde nicht nur gruen getestet, sondern falsifiziert: der Verifizierer hat die neue Besitzpruefung testweise zurueckgebaut, woraufhin der Test fehlschlug und die fremde Adresse tatsaechlich in prisma.user.update() landete. Danach sauber zurueckgesetzt. Ebenso gegengeprueft: beide Anlege-Wege (Sync und Einzelimport) nutzen denselben Kollisionsentscheider, im ausgelieferten Code stehen keine kundenspezifischen Namen oder Adressen, rohe ORM-Texte erreichen die Oberflaeche nicht mehr, und die Gruppensuche unter internem wie AD-Namen (#6c) ist per Regressionstest gesichert. Eine Abweichung des Ausfuehrenden ist dokumentiert und bestaetigt: die im Plan vorgesehene Testvorlage war wegen Kurzschlussauswertung schon gegen den unveraenderten Code gruen; mit einem zweiten, nicht passenden Konto reproduziert sie den Absturz nun wirklich. Status human_needed: die fuenf Browser-Pruefungen brauchen einen Neubau und sind Sache des Users. WINDOWS #14 und #15 bleiben bis dahin offen. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01FYZcd3SSmo14QTqWx2KKzU