Das Web bekommt ein Fundament und einen eigenen Server

Schritt 2 des Plans, erste Hälfte. Vite mit TypeScript, und ein Server
ohne eine einzige Abhängigkeit — er soll auf einem kleinen Container
laufen, nicht sein halbes Verzeichnis mitschleppen.

Der Server ist nicht Zierde. Er löst zwei Dinge, gegen die keine Zeile im
Frontend etwas ausrichten kann: Anfragen laufen über dieselbe Adresse wie
die Seite, womit CORS erledigt ist, auch beim Streamen. Und läuft der
Medienserver im Klartext, während die Seite verschlüsselt ausgeliefert
wird, blockiert der Browser sonst den Strom.

Geprüft: Weiterreichen mitsamt Autorisierung und richtig gesetztem Host,
Ausliefern gebauter Dateien, unbekannte Wege landen auf der Seite — und
ein Ausbruchsversuch mit "../../../etc/passwd" liefert die Seite statt
der Passwortdatei.

Der Körper wird durchgereicht statt gepuffert: ein Film ist ein Strom,
und ihn erst vollständig einzulesen hieße, ihn zwischenzuspeichern.

Die einzelne Datei bleibt vorerst, sie läuft ja.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

web/README.md

@@ -0,0 +1,42 @@
+# Flixy Web
+
+Die Weboberfläche für Rechner, auf denen es keine App gibt — Windows vor allem.
+
+## Aufbau
+
+| Ordner | Was |
+|---|---|
+| `app/` | Das Frontend (Vite, TypeScript) |
+| `server/` | Ein Server ohne Abhängigkeiten, der die Anfragen weiterreicht und die gebauten Dateien ausliefert |
+| `frontend/` | Die erste Fassung als **einzelne Datei**. Läuft, wird abgelöst. |
+| `jellyfin-theme/` | Ein Kleid für Jellyfins eigene Oberfläche — die kleine Lösung von vorher |
+
+## Warum ein eigener Server?
+
+Er löst zwei Dinge, an denen die einzelne Datei scheitert, und zwar unabhängig
+davon, wie gut das Frontend geschrieben ist:
+
+- **Herkunft.** Anfragen laufen über `/api` und damit über dieselbe Adresse wie
+  die Seite. Kein CORS, auch nicht beim Streamen.
+- **Klartext und Verschlüsselung.** Läuft der Medienserver über `http` und die
+  Seite über `https`, blockiert der Browser den Strom. Dagegen kann keine Zeile
+  im Frontend etwas tun — ein Server davor schon.
+
+Nebenbei bleibt der Zugangsschlüssel beim Server, statt im Browser zu liegen.
+
+## Betreiben
+
+```bash
+cd app && npm install && npm run build
+cd ../server && FLIXY_SERVER=http://jellyfin:8096 node index.js
+```
+
+Dann auf `http://localhost:8080`. Der Port lässt sich über `PORT` ändern.
+
+## Entwickeln
+
+```bash
+cd app && FLIXY_SERVER=http://jellyfin:8096 npm run dev
+```
+
+Vite übernimmt dabei das Weiterreichen, der eigene Server wird nicht gebraucht.