Drei Fehler aus dem ersten Praxistest

Anmelde-Adresse wurde doppelt kodiert
  URLComponents.fragment kodiert beim Setzen erneut, aus %5B wurde
  %255B. Plex antwortete mit „Diese Anfrage konnte nicht abgeschlossen
  werden". Die Adresse wird jetzt von Hand zusammengesetzt.

Verbindungssuche hing bis zu anderthalb Minuten
  probeTimeout war deklariert, aber nirgends angewendet — es galt der
  URLSession-Standard von 60 Sekunden. Zusammen mit der Prüfung Rang
  für Rang kostete eine schweigende lokale Adresse die volle Zeit,
  bevor der direkte Weg überhaupt begann. Jetzt laufen alle Adressen
  gleichzeitig, mit Zeitgrenze, und die Rangordnung entscheidet unter
  den erreichbaren.

Kein Zurück während des Ladens
  Die Kopfzeile mit dem Schließen-Knopf wurde nur im Zustand .playing
  gezeichnet. Bei langsamer Verbindung saß man ohne Ausweg vor einem
  Ladekreis. Sie liegt jetzt als eigene Ebene darüber und erscheint
  auch beim Vorbereiten — samt Titel, damit erkennbar bleibt, worauf
  gewartet wird.

Sechs neue Tests, darunter drei, die die Zeitgrenze der
Verbindungssuche an einer schweigenden Adresse nachstellen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Packages/FlixyKit/Sources/PlexKit/Auth/PlexPin.swift

@@ -41,13 +41,36 @@ public struct PlexPin: Sendable, Equatable, Decodable {
 
     /// Die Adresse, unter der der Nutzer den Code bestätigt.
     ///
+    /// Von Hand zusammengesetzt statt über `URLComponents`. Der Grund ist die
+    /// Form, die Plex verlangt: die Parameter stehen im Fragment (hinter dem
+    /// `#`), nicht in der Abfrage, und einer davon heißt buchstäblich
+    /// `context[device][product]`. Die eckigen Klammern müssen genau einmal
+    /// kodiert sein.
+    ///
+    /// `URLComponents.fragment` kodiert beim Setzen ein zweites Mal: aus `%5B`
+    /// wird `%255B`. Plex sieht dann einen Parameter, den es nicht kennt, und
+    /// antwortet mit „Diese Anfrage konnte nicht abgeschlossen werden".
+    /// Festgehalten in `AuthorizationURLTests`.
+    ///
     /// `forwardUrl` fehlt bewusst: der Rücksprung in die App wäre bequemer,
     /// verlangt aber ein eigenes URL-Schema. Solange die App den Code ohnehin
     /// im Hintergrund abfragt, merkt niemand einen Unterschied.
     public func authorizationURL(clientIdentifier: String, product: String) -> URL? {
-        var components = URLComponents(string: "https://app.plex.tv/auth")
-        components?.fragment = "?clientID=\(clientIdentifier)&code=\(code)"
-            + "&context%5Bdevice%5D%5Bproduct%5D=\(product.addingPercentEncoding(withAllowedCharacters: .alphanumerics) ?? product)"
-        return components?.url
+        // `&`, `=` und `+` müssen raus: sie trennen Parameter bzw. stehen für
+        // ein Leerzeichen. In einem Wert würden sie die Adresse zerreißen.
+        let allowed = CharacterSet.urlQueryAllowed.subtracting(CharacterSet(charactersIn: "&=+"))
+        func encode(_ value: String) -> String? {
+            value.addingPercentEncoding(withAllowedCharacters: allowed)
+        }
+
+        guard let client = encode(clientIdentifier),
+              let code = encode(code),
+              let product = encode(product)
+        else { return nil }
+
+        return URL(string: """
+            https://app.plex.tv/auth#?clientID=\(client)&code=\(code)\
+            &context%5Bdevice%5D%5Bproduct%5D=\(product)
+            """)
     }
 }