HEAD auf den Download, und /api verschluckt nichts mehr

Zwei Fehler, derselbe Grund — und beide zeigte erst der Browser.

**Der Spieler bekam die Webseite statt des Films.** „MEDIA_ELEMENT_ERROR:
Format error", 531 Byte, `Content-Type: text/html`. Das ist genau die Grösse
von `index.html`.

`MapGet` nimmt HEAD nicht an. Die Oberfläche fragt aber mit HEAD nach, ob das
Umpacken fertig ist — einen halbfertigen Film herunterzuladen, nur um das zu
erfahren, wäre absurd. Die Anfrage fiel durch den Methodenabgleich hindurch
bis zum SPA-Rückfall, und der nimmt jeden Pfad ohne Dateiendung. Antwort:
200, mit der Startseite im Rumpf. Der Client hielt das Umpacken für fertig
und reichte HTML an `<video>` weiter.

Jetzt `MapMethods` mit GET und HEAD. Kestrel lässt den Rumpf bei HEAD selbst
weg.

**Und ein vertippter Aufruf sah aus wie ein Erfolg.** `GET /api/v1/gibtsnicht`
gab 200 und die Webseite zurück — derselbe Rückfall. Ein Fehler, der erst
dort auffällt, wo jemand HTML durch einen JSON-Parser schickt.

`app.Map("/api/{*rest}", 404)` davor. Buchstaben schlagen Platzhalter, also
gewinnt jeder echte Endpunkt; was übrig bleibt, ist nicht da und sagt das
auch.

350 Tests grün, die zwei neuen eingerechnet. Am Container nachgemessen: HEAD
auf den Download gibt 200 `video/mp4` mit 71 920 Byte, `/api/v1/gibtsnicht`
gibt 404, und ein Neuladen auf `/verwaltung` bekommt weiterhin die Seite.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/src/Flaro.Api/Endpoints/DeliveryEndpoints.cs

@@ -18,7 +18,13 @@ public static class DeliveryEndpoints
             return Results.Ok(Auskunft(plan, packer, datei.Id, datei.ModifiedAt));
         }).RequireAuthorization();
 
-        app.MapGet("/api/v1/files/{id:guid}/download", async (
+        // **GET und HEAD.** Der Client fragt mit HEAD nach, ob das Umpacken
+        // fertig ist — eine Antwort ohne Rumpf genügt dafür, und einen
+        // halbfertigen Film herunterzuladen, nur um das zu erfahren, wäre
+        // absurd. `MapGet` allein nimmt HEAD nicht an; die Anfrage fiele dann
+        // durch bis zum SPA-Rückfall und bekäme die Webseite mit Status 200.
+        // Genau das ist passiert: der Spieler bekam HTML statt Video.
+        app.MapMethods("/api/v1/files/{id:guid}/download", ["GET", "HEAD"], async (
             Guid id, FlaroContext db, PackageCoordinator packer) =>
         {
             var gefunden = await Laden(db, id);

server/src/Flaro.Api/Program.cs

@@ -140,8 +140,15 @@ app.MapDelivery();
 app.MapPlayback();
 app.MapMatching();
 
-// Alles, was keine Schnittstelle ist, bekommt die Seite — der Router läuft
-// im Browser. Ohne das endet ein Neuladen auf /admin in einem 404.
+// **Was unter /api nicht beantwortet wurde, ist nicht da.** Ohne diese Zeile
+// fängt der Rückfall darunter jeden unbekannten Pfad ab und liefert die
+// Webseite mit Status 200 — ein vertippter Aufruf sieht dann aus wie ein
+// Erfolg, und der Fehler fällt erst dort auf, wo HTML verarbeitet wird.
+// Buchstaben schlagen Platzhalter, also gewinnt jeder echte Endpunkt hier.
+app.Map("/api/{*rest}", () => Results.NotFound()).AllowAnonymous();
+
+// Alles Übrige bekommt die Seite — der Router läuft im Browser. Ohne das
+// endet ein Neuladen auf /verwaltung in einem 404.
 if (Directory.Exists(oberfläche))
 {
     app.MapFallback(() => Results.File(Path.Combine(oberfläche, "index.html"), "text/html"))