Halo heisst ab hier Flaro — die Marke stand im Weg

Der Upload zu App Store Connect scheiterte am Namen. „Halo" ist eine
eingetragene Marke von Microsoft; im App Store heisst zwar keine App exakt
so, aber reservierte und markenrechtlich belegte Namen tauchen in keiner
Suche auf. Der einzige verlässliche Test war die Eingabe dort, und die ging
daneben.

**Der Name wurde diesmal vorher geprüft.** Zwanzig Kandidaten gegen den
deutschen und amerikanischen App Store, auf exakte Treffer und auf ähnliche
Namen. „Kavo" wäre dieselbe Wand gewesen — exakt belegt in beiden Stores, in
Deutschland von KaVo Dental GmbH. „Flare" ist mit 42 ähnlichen Apps je Store
der am dichtesten besetzte Name der ganzen Runde. **Flaro** ist in beiden
frei und liest sich als eigenes Wort, nicht als Flare mit Tippfehler.

Das bleibt eine Store-Suche und keine Markenrecherche — reservierte Namen
ohne veröffentlichte App sieht sie nicht. Aber es ist mehr Prüfung, als beim
letzten Mal stattfand.

---

2160 Textvorkommen in 273 Dateien, 49 Pfade. Betroffen ist diesmal auch der
Server: `Flaro.Api`, `Flaro.Core`, `Flaro.Data`, `Flaro.Media`,
`Flaro.Metadata`, `FlaroContext`, `FlaroPaths`, `flaro.db`, die Variablen
`FLARO_DATA`, `FLARO_CACHE`, `FLARO_TRANSCODE`, `FLARO_WRITE_SIDECARS`, und
das Image.

**Vor dem Ersetzen geprüft**, ob „halo" irgendwo als Teil eines anderen
Wortes steckt — und ob es im TMDB-Token vorkommt. Tat es nicht; ein blindes
Ersetzen hätte den sonst zerlegt.

`docs/superpowers/specs/` bleibt wie beim letzten Mal unangetastet: datierte
Entwurfsdokumente sind ein Protokoll getroffener Entscheidungen. Das
Server-Dokument hat stattdessen einen Nachtrag bekommen, damit es niemanden
in die Irre führt.

**Die Bundle-ID wandert mit**, zum zweiten Mal an einem Tag:
`com.scarriffleservices.flaro`. Wer die vorige Fassung installiert hat, hat
jetzt zwei Karteileichen auf dem Gerät — beide löschen, dann ist Ruhe.

308 Server-Tests grün, 368 im Swift-Paket, null Warnungen. iOS und tvOS
bauen, das Image baut, und ein frischer Container läuft durch Einrichtung
und Anmeldung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/src/Flaro.Api/Program.cs

@@ -0,0 +1,124 @@
+using System.Threading.RateLimiting;
+using Flaro.Api;
+using Flaro.Api.Auth;
+using Flaro.Api.Endpoints;
+using Flaro.Core.Metadata;
+using Flaro.Data;
+using Flaro.Core.Library;
+using Flaro.Media;
+using Flaro.Metadata;
+using Microsoft.AspNetCore.Authentication;
+using Microsoft.AspNetCore.RateLimiting;
+using Microsoft.EntityFrameworkCore;
+
+var builder = WebApplication.CreateBuilder(args);
+
+var pfade = FlaroPaths.FromEnvironment(builder.Environment.ContentRootPath);
+pfade.EnsureExists();
+builder.Services.AddSingleton(pfade);
+builder.Services.AddSingleton(TimeProvider.System);
+
+builder.Services.AddDbContext<FlaroContext>(o => o.UseSqlite($"Data Source={pfade.DatabaseFile}"));
+
+builder.Services
+    .AddAuthentication(TokenAuthenticationHandler.SchemeName)
+    .AddScheme<AuthenticationSchemeOptions, TokenAuthenticationHandler>(
+        TokenAuthenticationHandler.SchemeName, _ => { });
+
+builder.Services.AddAuthorizationBuilder()
+    // Jeder Endpunkt verlangt Anmeldung, sofern er sie nicht ausdrücklich
+    // abbestellt. Andersherum — jeden einzeln absichern — ist der Entwurf, bei
+    // dem irgendwann einer vergessen wird.
+    .SetFallbackPolicy(new Microsoft.AspNetCore.Authorization.AuthorizationPolicyBuilder()
+        .RequireAuthenticatedUser().Build())
+    .AddPolicy(FlaroPolicies.Administrator, p => p.RequireRole(FlaroRoles.Administrator));
+
+// Einstellbar, weil die richtige Zahl vom Aufbau abhängt: steht Flaro hinter
+// einem Reverse Proxy, erscheinen **alle** Benutzer unter derselben Adresse
+// und teilen sich einen Eimer. Wer das nicht weiss, hält die eigene App für
+// kaputt, während in Wahrheit der Nachbar im selben Haus gerade angemeldet hat.
+//
+// NOCH OFFEN: `X-Forwarded-For` auswerten, damit die Aufteilung auch hinter
+// einem Proxy je Benutzer greift. Blind zu vertrauen wäre falsch — es braucht
+// eine Liste vertrauenswürdiger Gegenstellen.
+int grenze(string name, int voreinstellung) =>
+    int.TryParse(Environment.GetEnvironmentVariable(name), out var wert) && wert > 0 ? wert : voreinstellung;
+
+builder.Services.AddRateLimiter(o =>
+{
+    o.RejectionStatusCode = StatusCodes.Status429TooManyRequests;
+    var beimAnmelden = grenze("FLARO_RATELIMIT_SIGNIN", 10);
+    var beimNachfragen = grenze("FLARO_RATELIMIT_POLLING", 120);
+
+    // Je Absender, nicht global: sonst sperrt ein einzelner Angreifer den
+    // ganzen Haushalt aus, und die Abwehr wäre selbst der Ausfall.
+    o.AddPolicy(FlaroRateLimits.SignIn, anfrage => RateLimitPartition.GetFixedWindowLimiter(
+        anfrage.Connection.RemoteIpAddress?.ToString() ?? "unbekannt",
+        _ => new FixedWindowRateLimiterOptions { PermitLimit = beimAnmelden, Window = TimeSpan.FromMinutes(1) }));
+
+    o.AddPolicy(FlaroRateLimits.Polling, anfrage => RateLimitPartition.GetFixedWindowLimiter(
+        anfrage.Connection.RemoteIpAddress?.ToString() ?? "unbekannt",
+        _ => new FixedWindowRateLimiterOptions { PermitLimit = beimNachfragen, Window = TimeSpan.FromMinutes(1) }));
+});
+
+// ffmpeg als eigener Prozess, nicht eingebunden: hält die Lizenzen getrennt
+// und lässt einen Absturz dort den Server nicht mitnehmen.
+builder.Services.AddSingleton(FfmpegOptions.FromEnvironment());
+builder.Services.AddSingleton<IMediaProbe, FfprobeRunner>();
+builder.Services.AddSingleton<FfmpegRemuxer>();
+
+// Beiwerk im Medienordner — standardmässig aus. In fremde Medienordner zu
+// schreiben ist nichts, was ein Server ungefragt tun sollte.
+builder.Services.AddSingleton(SidecarOptions.FromEnvironment());
+builder.Services.AddSingleton<ISidecarStore, SidecarWriter>();
+
+builder.Services.AddScoped<LibraryScanner>();
+
+// Metadaten. Der Anbieter steckt hinter einer Schnittstelle, damit alles, was
+// ihn benutzt, ohne Netz und ohne Schlüssel geprüft werden kann.
+builder.Services.AddScoped<ITmdbSettingsSource, DatabaseTmdbSettings>();
+builder.Services.AddHttpClient<TmdbClient>(c =>
+{
+    c.BaseAddress = new Uri(TmdbClient.BaseAddress);
+    // Ein hängender fremder Dienst darf einen Scan nicht festsetzen.
+    c.Timeout = TimeSpan.FromSeconds(20);
+});
+builder.Services.AddScoped<IMetadataProvider>(sp => sp.GetRequiredService<TmdbClient>());
+builder.Services.AddSingleton(new ImageCacheOptions(pfade.Cache));
+builder.Services.AddHttpClient<ImageCache>(c => c.Timeout = TimeSpan.FromSeconds(30));
+builder.Services.AddScoped<IImageStore>(sp => sp.GetRequiredService<ImageCache>());
+builder.Services.AddScoped<IImageReader>(sp => sp.GetRequiredService<ImageCache>());
+builder.Services.AddScoped<MetadataEnricher>();
+builder.Services.AddScoped<MatchApplier>();
+builder.Services.AddSingleton<ScanCoordinator>();
+builder.Services.AddSingleton<PackageCoordinator>();
+builder.Services.AddProblemDetails();
+
+var app = builder.Build();
+
+// Beim Start wandern, nicht über ein eigenes Kommando: wer den Container
+// hochfährt, soll nicht erst eine Migration von Hand anstossen müssen.
+using (var bereich = app.Services.CreateScope())
+{
+    await bereich.ServiceProvider.GetRequiredService<FlaroContext>().Database.MigrateAsync();
+}
+
+app.UseExceptionHandler();
+app.UseStatusCodePages();
+app.UseRateLimiter();
+app.UseAuthentication();
+app.UseAuthorization();
+
+app.MapSystem();
+app.MapAuth();
+app.MapManagement();
+app.MapLibraryContent();
+app.MapSettings();
+app.MapImages();
+app.MapDelivery();
+app.MapMatching();
+
+app.Run();
+
+/// <summary>Damit die Tests den Server hochfahren können.</summary>
+public partial class Program;