Halo heisst ab hier Flaro — die Marke stand im Weg

Der Upload zu App Store Connect scheiterte am Namen. „Halo" ist eine
eingetragene Marke von Microsoft; im App Store heisst zwar keine App exakt
so, aber reservierte und markenrechtlich belegte Namen tauchen in keiner
Suche auf. Der einzige verlässliche Test war die Eingabe dort, und die ging
daneben.

**Der Name wurde diesmal vorher geprüft.** Zwanzig Kandidaten gegen den
deutschen und amerikanischen App Store, auf exakte Treffer und auf ähnliche
Namen. „Kavo" wäre dieselbe Wand gewesen — exakt belegt in beiden Stores, in
Deutschland von KaVo Dental GmbH. „Flare" ist mit 42 ähnlichen Apps je Store
der am dichtesten besetzte Name der ganzen Runde. **Flaro** ist in beiden
frei und liest sich als eigenes Wort, nicht als Flare mit Tippfehler.

Das bleibt eine Store-Suche und keine Markenrecherche — reservierte Namen
ohne veröffentlichte App sieht sie nicht. Aber es ist mehr Prüfung, als beim
letzten Mal stattfand.

---

2160 Textvorkommen in 273 Dateien, 49 Pfade. Betroffen ist diesmal auch der
Server: `Flaro.Api`, `Flaro.Core`, `Flaro.Data`, `Flaro.Media`,
`Flaro.Metadata`, `FlaroContext`, `FlaroPaths`, `flaro.db`, die Variablen
`FLARO_DATA`, `FLARO_CACHE`, `FLARO_TRANSCODE`, `FLARO_WRITE_SIDECARS`, und
das Image.

**Vor dem Ersetzen geprüft**, ob „halo" irgendwo als Teil eines anderen
Wortes steckt — und ob es im TMDB-Token vorkommt. Tat es nicht; ein blindes
Ersetzen hätte den sonst zerlegt.

`docs/superpowers/specs/` bleibt wie beim letzten Mal unangetastet: datierte
Entwurfsdokumente sind ein Protokoll getroffener Entscheidungen. Das
Server-Dokument hat stattdessen einen Nachtrag bekommen, damit es niemanden
in die Irre führt.

**Die Bundle-ID wandert mit**, zum zweiten Mal an einem Tag:
`com.scarriffleservices.flaro`. Wer die vorige Fassung installiert hat, hat
jetzt zwei Karteileichen auf dem Gerät — beide löschen, dann ist Ruhe.

308 Server-Tests grün, 368 im Swift-Paket, null Warnungen. iOS und tvOS
bauen, das Image baut, und ein frischer Container läuft durch Einrichtung
und Anmeldung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/tests/Flaro.Metadata.Tests/ZugangTests.cs

@@ -0,0 +1,127 @@
+using Microsoft.Extensions.Logging.Abstractions;
+
+namespace Flaro.Metadata.Tests;
+
+/// <summary>Womit sich Flaro bei TMDB ausweist.</summary>
+public class ZugangTests
+{
+    private const string LeseToken = "eyJhbGciOiJIUzI1NiJ9.beispiel.unterschrift";
+    private const string AelterSchluessel = "0123456789abcdef0123456789abcdef";
+
+    private static (TmdbClient Client, Attrappe Attrappe) Mit(string zugang)
+    {
+        var attrappe = Attrappe.MitJson("""{"results":[{"id":1,"title":"Egal"}]}""");
+        return (new TmdbClient(
+            new HttpClient(attrappe) { BaseAddress = new Uri(TmdbClient.BaseAddress) },
+            new FesteEinstellungen(new TmdbSettings(zugang, "de-DE")),
+            NullLogger<TmdbClient>.Instance), attrappe);
+    }
+
+    /// <summary>Ein Lese-Token gehört in die Kopfzeile, nicht in die Adresse.</summary>
+    ///
+    /// <remarks>
+    /// <b>Eine Adresse steht in jedem Zugriffsprotokoll.</b> In jedem Reverse
+    /// Proxy, in jeder Fehlermeldung, die eine URL zitiert. Eine Kopfzeile tut
+    /// das nicht — und bei einem Schlüssel, der in einem offenen Projekt
+    /// mitgeliefert wird, zählt jede Stelle, an der er nicht auftaucht.
+    /// </remarks>
+    [Test]
+    public async Task Der_Lese_Token_geht_als_Bearer_und_nicht_in_die_Adresse()
+    {
+        var (client, attrappe) = Mit(LeseToken);
+        await client.FindMovieAsync("Egal", null);
+
+        // **Jede** Anfrage, nicht nur die erste: seit der IMDb-Nachschlag
+        // dazukam, gehen zwei hinaus, und beide müssen es richtig machen.
+        Assert.That(attrappe.Kopfzeilen, Is.All.EqualTo($"Bearer {LeseToken}"));
+        Assert.That(attrappe.Aufrufe, Is.All.Not.Contains("api_key"));
+        Assert.That(attrappe.Aufrufe, Is.All.Not.Contains(LeseToken));
+    }
+
+    /// <summary>Der ältere Schlüssel kann nur in die Adresse — also tut er das.</summary>
+    [Test]
+    public async Task Der_aeltere_Schluessel_geht_weiterhin_als_Abfrageteil()
+    {
+        var (client, attrappe) = Mit(AelterSchluessel);
+        await client.FindMovieAsync("Egal", null);
+
+        Assert.That(attrappe.Kopfzeilen, Is.All.Null);
+        Assert.That(attrappe.Aufrufe, Is.All.Contains($"api_key={AelterSchluessel}"));
+    }
+
+    [Test]
+    public async Task Auch_bei_Folgen_wird_der_Bearer_mitgeschickt()
+    {
+        var (client, attrappe) = Mit(LeseToken);
+        await client.FindEpisodeAsync(70523, 1, 1);
+
+        Assert.That(attrappe.Kopfzeilen, Is.All.StartsWith("Bearer "));
+        Assert.That(attrappe.Aufrufe, Is.All.Not.Contains("api_key"));
+    }
+}
+
+/// <summary>Welcher Schlüssel gilt, wenn mehrere in Frage kommen.</summary>
+public class SchluesselwahlTests
+{
+    [Test]
+    public void Ein_eigener_Schluessel_sticht_den_mitgelieferten()
+    {
+        var gewählt = TmdbSettings.Resolve("mein-eigener", "de-DE");
+
+        Assert.That(gewählt.ApiKey, Is.EqualTo("mein-eigener"));
+        Assert.That(gewählt.UsingProjectKey, Is.False);
+    }
+
+    [Test]
+    public void Ohne_eigenen_greift_der_mitgelieferte()
+    {
+        var gewählt = TmdbSettings.Resolve(null, null);
+
+        if (TmdbSettings.ProjectApiKey.Length == 0)
+        {
+            Assert.That(gewählt.ApiKey, Is.Null, "Ohne mitgelieferten Schlüssel bleibt es dabei");
+            Assert.That(gewählt.UsingProjectKey, Is.False);
+            return;
+        }
+
+        Assert.That(gewählt.ApiKey, Is.EqualTo(TmdbSettings.ProjectApiKey));
+        Assert.That(gewählt.UsingProjectKey, Is.True);
+    }
+
+    [TestCase("")]
+    [TestCase("   ")]
+    public void Ein_leerer_eigener_Schluessel_zaehlt_als_keiner(string leer)
+    {
+        Assert.That(TmdbSettings.Resolve(leer, null).UsingProjectKey,
+            Is.EqualTo(TmdbSettings.ProjectApiKey.Length > 0));
+    }
+
+    [Test]
+    public void Leerraum_um_den_Schluessel_wird_abgeschnitten()
+    {
+        Assert.That(TmdbSettings.Resolve("  meiner  ", "  de-DE  ").ApiKey, Is.EqualTo("meiner"));
+        Assert.That(TmdbSettings.Resolve("meiner", "  de-DE  ").Language, Is.EqualTo("de-DE"));
+    }
+
+    [Test]
+    public void Ohne_Sprachangabe_gilt_Englisch()
+    {
+        Assert.That(TmdbSettings.Resolve("meiner", null).Language, Is.EqualTo("en-US"));
+    }
+
+    /// <summary>Der mitgelieferte Schlüssel darf nur lesen dürfen.</summary>
+    ///
+    /// <remarks>
+    /// Er steht öffentlich im Quellcode. Ein Lese-Token kann nichts ändern —
+    /// ein älterer API-Schlüssel schon. Diese Prüfung hält fest, dass hier
+    /// keiner der falschen Art hineingerät.
+    /// </remarks>
+    [Test]
+    public void Der_mitgelieferte_Schluessel_ist_ein_Lese_Token()
+    {
+        if (TmdbSettings.ProjectApiKey.Length == 0) Assert.Pass("Kein Schlüssel mitgeliefert.");
+
+        Assert.That(TmdbSettings.ProjectApiKey, Does.StartWith("eyJ"),
+            "Erwartet wird ein API Read Access Token, kein älterer API-Schlüssel");
+    }
+}