Jellyfin: der Anmeldebildschirm bietet jetzt beides an

Der Anmeldebildschirm kannte nur Plex. JellyfinKit war fertig, aber von der
App aus nicht erreichbar — „ich sehe nix von Jellyfin".

Quick Connect steht vorn: der Server nennt einen sechsstelligen Code, den man
in einem bereits angemeldeten Client bestätigt. Das Passwort erreicht Flixy
dabei nie, dieselbe Zusage wie bei Plex. Benutzername und Passwort sind der
Rückfall für Server, auf denen Quick Connect abgeschaltet ist; das Passwort
wird dann für die Dauer einer Anfrage gehalten und danach weggeworfen.

Die Adresse wird nicht erraten, sondern durchprobiert. „192.168.1.50" kann
alles Mögliche heißen, und die Reihenfolge ist der Kern von JellyfinAddress:
eine IP-Adresse im eigenen Netz spricht fast nie HTTPS, ein Domänenname fast
immer. Andersherum wartet man bei jedem Server ohne Zertifikat erst auf eine
Zeitüberschreitung.

Die Sitzung hält von hier an einen Server hinter dem neutralen Vertrag, nicht
mehr einen Plex-Server. Die Ansichten haben das nicht gemerkt — genau dafür
war MediaKit da. Dabei fällt ab, was Jellyfin kann und Plex nicht: Favoriten
stehen im Aktionsmenü, sobald der Server sie kennt, Sterne nur dort, wo es
sie gibt.

Was noch nicht geht und deshalb auch nicht behauptet wird: Wiedergabe und
Live-TV sprechen weiter unmittelbar mit Plex. Bei Jellyfin verschwindet der
Live-TV-Eintrag aus der Seitenleiste, und der Player sagt, dass die
Wiedergabe der nächste Schritt ist, statt „Server nicht erreichbar" zu
melden — er ist ja erreichbar.

Nebenbei zwei Stellen, die der Übersetzer aus Plex hinterlassen hat:
`catch is CancellationError` griff seit den getippten Fehlern nie mehr, weil
eine abgebrochene Netzanfrage als Übertragungsfehler zurückkommt; und das
Ersatz-Hintergrundbild einer Folge war toter Code, weil die linke Seite des
`??` gar nicht optional war.

TokenStore wandert nach MediaKit — Tokens sind nichts Plex-Eigenes. Die
Konten sind nach Server getrennt, damit ein späteres Umschalten nicht jedes
Mal eine neue Anmeldung kostet; „Abmelden" räumt trotzdem beide ab.

248 Tests grün.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Packages/FlixyKit/Sources/MediaKit/TokenStore.swift

@@ -0,0 +1,104 @@
+import Foundation
+import Security
+
+/// Legt Tokens im Schlüsselbund ab.
+///
+/// Nicht in `UserDefaults`: ein Server-Token gibt vollen Zugriff auf die
+/// Mediathek und bleibt gültig, bis er am Server zurückgezogen wird. In den
+/// Voreinstellungen läge er als Klartext in einer Datei, die jedes Backup
+/// mitnimmt.
+///
+/// Der Kontoname trennt die Server: `plex.server` und `jellyfin.server`
+/// liegen nebeneinander. Wer zwischen beiden wechselt, soll beim
+/// Zurückwechseln nicht neu anmelden müssen.
+public protocol TokenStoring: Sendable {
+    func store(_ token: String, for account: String) throws
+    func token(for account: String) -> String?
+    func remove(for account: String)
+}
+
+public struct KeychainTokenStore: TokenStoring {
+    private let service: String
+
+    public init(service: String) {
+        self.service = service
+    }
+
+    public enum Failure: Error, Equatable {
+        case keychain(status: OSStatus)
+    }
+
+    public func store(_ token: String, for account: String) throws {
+        let query: [String: Any] = [
+            kSecClass as String: kSecClassGenericPassword,
+            kSecAttrService as String: service,
+            kSecAttrAccount as String: account,
+        ]
+
+        let attributes: [String: Any] = [
+            kSecValueData as String: Data(token.utf8),
+            // Ohne Gerätesperre kein Zugriff, und nicht in Backups übertragbar.
+            // Ein Token, der auf einem anderen Gerät wieder auftaucht, wäre
+            // ein stiller Zweitzugang zur Mediathek.
+            kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
+        ]
+
+        let status = SecItemUpdate(query as CFDictionary, attributes as CFDictionary)
+        switch status {
+        case errSecSuccess:
+            return
+        case errSecItemNotFound:
+            let insert = query.merging(attributes) { current, _ in current }
+            let addStatus = SecItemAdd(insert as CFDictionary, nil)
+            guard addStatus == errSecSuccess else { throw Failure.keychain(status: addStatus) }
+        default:
+            throw Failure.keychain(status: status)
+        }
+    }
+
+    public func token(for account: String) -> String? {
+        let query: [String: Any] = [
+            kSecClass as String: kSecClassGenericPassword,
+            kSecAttrService as String: service,
+            kSecAttrAccount as String: account,
+            kSecReturnData as String: true,
+            kSecMatchLimit as String: kSecMatchLimitOne,
+        ]
+
+        var result: CFTypeRef?
+        guard SecItemCopyMatching(query as CFDictionary, &result) == errSecSuccess,
+              let data = result as? Data
+        else { return nil }
+
+        return String(data: data, encoding: .utf8)
+    }
+
+    public func remove(for account: String) {
+        let query: [String: Any] = [
+            kSecClass as String: kSecClassGenericPassword,
+            kSecAttrService as String: service,
+            kSecAttrAccount as String: account,
+        ]
+        SecItemDelete(query as CFDictionary)
+    }
+}
+
+/// Ein Ablageort im Arbeitsspeicher — für Tests und SwiftUI-Vorschauen.
+public final class InMemoryTokenStore: TokenStoring, @unchecked Sendable {
+    private let lock = NSLock()
+    private var tokens: [String: String] = [:]
+
+    public init() {}
+
+    public func store(_ token: String, for account: String) throws {
+        lock.withLock { tokens[account] = token }
+    }
+
+    public func token(for account: String) -> String? {
+        lock.withLock { tokens[account] }
+    }
+
+    public func remove(for account: String) {
+        _ = lock.withLock { tokens.removeValue(forKey: account) }
+    }
+}