7 Commits

Include renames

Author	SHA1	Message	Date
ScarriffleandClaude Opus 5	91eb934048	Die Weboberfläche — im Zuschnitt von Plex, vom Server selbst ausgeliefert ... Einrichtung, Anmeldung, Mediathek, Detailseite mit Abspielen und Herunterladen, Zuordnung korrigieren, Verwaltung. Die Oberfläche aus der Jellyfin-Zeit ist dabei vollständig ersetzt: `types.ts`, `prefs.ts`, `contrast.ts`, `views/cards.ts`, `views/player.ts` und `views/settings.ts` sprachen Jellyfins Schnittstelle und hatten hier nichts mehr zu suchen. Seitenleiste links, waagerechte Reihen auf der Startseite, Plakate im Verhältnis 2:3, unscharfer Hintergrund hinter dem Kopf der Detailseite — das ist der Zuschnitt von Plex, weil er gefällt. **Die Farbe bleibt Flaros Orchidee**, nicht Plex' Orange; der Aufbau ist das Vorbild, nicht das Aussehen. Welche Bibliothek gezeigt wird, entscheidet die Seitenleiste. Eine zweite Umschaltung innerhalb der Seite wäre dieselbe Entscheidung an zwei Orten. --- **Der Zugang liegt jetzt auch in einem Cookie.** Ein `<img>`, ein `<video>` und ein Download-Link senden keine eigenen Kopfzeilen — eine App kann ihr Token in jede Anfrage legen, ein Browser nicht. Das Token stattdessen in die Adresse zu schreiben wäre der naheliegende Ausweg und stünde danach in jedem Zugriffsprotokoll, in jedem Verlauf und in jedem weitergegebenen Link. `HttpOnly`, damit kein eingeschlichenes Skript herankommt. `SameSite=Strict` gegen Anfragen von fremden Seiten. `Secure` nur über https — sonst liesse sich die Oberfläche im Heimnetz über http gar nicht benutzen. Die Apps benutzen weiterhin die Kopfzeile: ein zweiter Weg zum selben Token, kein zweites Verfahren. --- **Der Fehler, den erst der echte Container zeigte:** eine weisse Seite, ohne Hinweis worauf. Die Rückfallregel verlangt für jede Anfrage ohne eigenen Endpunkt einen angemeldeten Benutzer, und `/assets/index.js` hat keinen. Die statischen Dateien standen unter `UseAuthorization` — ein neuer Besucher bekam 401 auf genau das Skript, das ihm die Anmeldemaske zeichnen sollte. `/` kam durch, weil der SPA-Rückfall `AllowAnonymous` trägt; alles mit Dateiendung nicht. Jetzt liegen sie davor. Mit Prüfung. Beim Bau desselben Images der zweite: seit der Kontext die Projektwurzel ist, überschrieb `COPY server/` die `obj/`-Verzeichnisse aus dem Container mit denen vom Arbeitsrechner — die zeigen auf osx-arm64, gebaut wird linux-arm64, `dotnet publish` brach mit NETSDK1047 ab. Dafür gibt es jetzt eine `.dockerignore` in der Wurzel; die unter `server/` sucht Docker seit dem Umzug nicht mehr. --- Vier Prüfungen schlugen danach fehl, und zwar zu Recht: sie hiessen „ohne Anmeldung gibt es nichts", benutzten aber den Client, der nach dem Anmelden ein Cookie hält. Sie prüften also den Angemeldeten. Jetzt sagen sie ausdrücklich, dass sie ohne Zugang fragen. 313 Tests grün. Im Container nachgewiesen: Anmelden, Plakate, Abspielen, Staffeln und Folgen, Verwaltung — und ein Neuladen auf `/verwaltung`, das nicht in einem 404 endet. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 21:07:29 +02:00
ScarriffleandClaude Opus 5	a7cf6c5def	Halo heisst ab hier Flaro — die Marke stand im Weg ... Der Upload zu App Store Connect scheiterte am Namen. „Halo" ist eine eingetragene Marke von Microsoft; im App Store heisst zwar keine App exakt so, aber reservierte und markenrechtlich belegte Namen tauchen in keiner Suche auf. Der einzige verlässliche Test war die Eingabe dort, und die ging daneben. **Der Name wurde diesmal vorher geprüft.** Zwanzig Kandidaten gegen den deutschen und amerikanischen App Store, auf exakte Treffer und auf ähnliche Namen. „Kavo" wäre dieselbe Wand gewesen — exakt belegt in beiden Stores, in Deutschland von KaVo Dental GmbH. „Flare" ist mit 42 ähnlichen Apps je Store der am dichtesten besetzte Name der ganzen Runde. **Flaro** ist in beiden frei und liest sich als eigenes Wort, nicht als Flare mit Tippfehler. Das bleibt eine Store-Suche und keine Markenrecherche — reservierte Namen ohne veröffentlichte App sieht sie nicht. Aber es ist mehr Prüfung, als beim letzten Mal stattfand. --- 2160 Textvorkommen in 273 Dateien, 49 Pfade. Betroffen ist diesmal auch der Server: `Flaro.Api`, `Flaro.Core`, `Flaro.Data`, `Flaro.Media`, `Flaro.Metadata`, `FlaroContext`, `FlaroPaths`, `flaro.db`, die Variablen `FLARO_DATA`, `FLARO_CACHE`, `FLARO_TRANSCODE`, `FLARO_WRITE_SIDECARS`, und das Image. **Vor dem Ersetzen geprüft**, ob „halo" irgendwo als Teil eines anderen Wortes steckt — und ob es im TMDB-Token vorkommt. Tat es nicht; ein blindes Ersetzen hätte den sonst zerlegt. `docs/superpowers/specs/` bleibt wie beim letzten Mal unangetastet: datierte Entwurfsdokumente sind ein Protokoll getroffener Entscheidungen. Das Server-Dokument hat stattdessen einen Nachtrag bekommen, damit es niemanden in die Irre führt. **Die Bundle-ID wandert mit**, zum zweiten Mal an einem Tag: `com.scarriffleservices.flaro`. Wer die vorige Fassung installiert hat, hat jetzt zwei Karteileichen auf dem Gerät — beide löschen, dann ist Ruhe. 308 Server-Tests grün, 368 im Swift-Paket, null Warnungen. iOS und tvOS bauen, das Image baut, und ein frischer Container läuft durch Einrichtung und Anmeldung. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 19:38:27 +02:00
ScarriffleandClaude Opus 5	f98b995050	Beiwerk im Medienordner, und eine Zuordnung lässt sich korrigieren ... Plakate, Hintergründe und NFO-Dateien landen jetzt neben dem Film — und eine falsche Zuordnung lässt sich richtigstellen, ohne dass der nächste Scan sie wieder überschreibt. Der Untergang (2004)/ ├── Der Untergang (2004).mkv ├── poster.jpg ├── fanart.jpg └── movie.nfo Bei Serien liegt `tvshow.nfo` eine Ebene über dem Staffelordner, je Folge kommen NFO und Standbild daneben. Liegen mehrere Filme in einem Ordner, heisst das Beiwerk `Titel (Jahr)-poster.jpg` — sonst überschrieben sie sich gegenseitig. **Die Erlaubnisliste ist der ganze Schutz.** Damit das geht, muss die Medieneinhängung ohne `:ro` auskommen, und damit könnte der Server dort alles anstellen. Dass er es nicht tut, hängt an `SidecarNames`: sechs Arten von Datei, nichts sonst. Ein Name, der nicht daraufsteht, wirft — laut, nicht still, denn das wäre ein Fehler im Programm. Mediendateien werden nie geändert, umbenannt oder gelöscht; es gibt keine Stelle, die das könnte. Geprüft an echten Dateien, einschliesslich der Versuche mit `../`, mit absoluten Pfaden und mit einer Mediendatei als Ziel. Standardmässig **aus**. In fremde Medienordner zu schreiben ist nichts, was ein Server ungefragt tun sollte. **Gelesen wird auch ohne Schreiberlaubnis.** Eine vorhandene NFO ist eine Zuordnung, die jemand getroffen hat — Halo nimmt sie und sucht gar nicht erst. Dasselbe gilt für Ordnernamen der Form `[tmdbid-613]`. Halo liest sie und benennt **nichts** um: Umbenennen ist der einzige Eingriff, der eine Bibliothek wirklich zerlegen kann. Nebenbei: eine NFO aus dem Medienordner hat Halo nicht geschrieben. DTDs sind beim Lesen abgeschaltet — eine untergeschobene Datei mit externer Entität könnte sonst den Server dazu bringen, `/config/halo.db` einzulesen und als Titel auszuliefern. Mit Prüfung. --- **Der Fehler, den erst der echte Lauf zeigte** — und er ist die zweite Auflage eines schon einmal behobenen: Nach der Korrektur stand im Ordner „Dark (2017)", in der Datenbank aber 2004. Der nächste Scan suchte nach *(Dark, 2017)*, fand nichts, legte den Film neu an und löschte den korrigierten als verwaist. Überlebt hat die Zuordnung nur, weil sie in der NFO stand — das System hat sich selbst gerettet, aber der Eintrag war ein anderer und das Jahr wieder falsch. Dieselbe Klasse wie bei `ParsedTitle`: zugeordnet wurde über einen Wert, den die Metadatenquelle verändert. Jetzt gibt es `ParsedYear`, und das ändert sich nie. Mit Prüfung, die genau diesen Ablauf festhält. --- Dazu von TMDB: die IMDb-Kennung wird nachgeschlagen, damit sie in der NFO steht — wer später auf ein anderes Werkzeug wechselt, findet denselben Titel wieder, auch wenn das TMDB gar nicht kennt. 308 Tests grün. Im Container nachgewiesen: Zuordnung falsch, korrigiert, zweiter Scan — derselbe Eintrag, dieselbe Kennung, Jahr bleibt. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 19:01:26 +02:00
ScarriffleandClaude Opus 5	79b6001f86	Metadaten ohne Einrichtung — mit Lese-Token statt API-Schlüssel ... Halo bringt einen TMDB-Zugang mit. Wer den Server startet, bekommt Titel, Beschreibungen und Plakate, ohne irgendwo ein Konto anzulegen. Am echten Dienst nachgewiesen: „Der Untergang" (2004) mit deutscher Beschreibung, „Blade Runner 2049" (2017), Plakate als JPEG aus Halos eigener Ablage. **Warum überhaupt die Frage stand.** Jellyfin liefert ebenfalls einen Schlüssel mit — fest im Quellcode, offen im Repository, Konstante `ApiKey` in `TmdbUtils.cs`. Ein Abkommen mit TMDB dazu liess sich nicht belegen: deren Bedingungen erwähnen das Teilen von Schlüsseln mit keinem Wort, und die einzige Äusserung eines Moderators zu genau dieser Frage im TMDB-Forum ging nicht darauf ein, sondern wies nur darauf hin, dass Missbrauch zur Sperrung führt. Geduldet also, nicht gesegnet. Deshalb **mit Ausweg**: wer einen eigenen Zugang hinterlegt, benutzt den. Würde der mitgelieferte je gesperrt, steht damit nicht jede Installation still. **Ein Lese-Token, kein API-Schlüssel.** TMDBs eigene Dokumentation bestätigt, dass er auch an den v3-Endpunkten gilt. Zwei Gründe, und beide zählen bei einem Zugang, der öffentlich im Repo steht: er kann nur lesen, und er geht als `Authorization`-Kopfzeile hinaus statt als `?api_key=` in der Adresse — und eine Adresse steht in jedem Zugriffsprotokoll und jedem Reverse Proxy. Der ältere Schlüssel wird weiterhin angenommen; er kann nur in die Adresse. **Der Hinweis auf TMDB ist Bedingung.** Logo und ein fester Satz, so verlangt es deren Lizenz. `system/info` liefert beides ohne Anmeldung, damit ein Client es auch auf dem Anmeldebildschirm zeigen kann. Das fehlte bisher. --- **Zwei Funde, beide nur durch einen echten Lauf sichtbar:** *„Dark" wurde zu „Dark Shadows" von 1966.* TMDB sortiert nach Beliebtheit, und ohne Jahresangabe führt das in die Irre. Jetzt sticht ein Treffer mit genau diesem Namen den beliebteren — danach: „Dark" (2017), deutsche Beschreibung, Folgentitel „Geheimnisse" und „Lügen". Nur bei Gleichheit, nicht bei Ähnlichkeit: eine eigene Bewertung wäre TMDBs Rangfolge nachgebaut, mit weniger Daten. *Die Tests griffen plötzlich übers Netz zu.* Sobald ein Schlüssel mitgeliefert wird, fragt jeder Scan wirklich bei TMDB nach — und prompt hiess „Der Untergang" im Test „Downfall", weil die Voreinstellung Englisch ist. Genau das, was ein Testwerk nicht tun darf: am WLAN hängen und an fremden Daten. Der Anbieter ist jetzt für alle Tests abgeschaltet, ausser ein Test schiebt ausdrücklich einen eigenen nach. 238 Tests grün, keiner davon geht ins Netz. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 17:52:48 +02:00
ScarriffleandClaude Opus 5	e4a90fce4e	Stufe 3: Download mit allen Ton- und Textspuren ... **Der Grund, warum es diesen Server gibt.** Eine MKV mit zwei Tonspuren geht hinein, eine MP4 mit zwei Tonspuren kommt heraus — mitsamt Sprachkennung und Spurnamen. Im Container nachgewiesen, nicht nur im Test: 0 video h264 und 1 audio aac deu Deutsch 2 audio aac deu Audiodeskription 3 subtitle mov_text deu Jellyfins Transcode-Endpunkt bildet je Sitzung **eine** Tonspur ab und verliert beim Umpacken zusätzlich die Sprachkennungen. Der Plan hier hat gar kein Feld „welche Tonspur" — es gibt nichts auszuwählen, weil alle mitgehen. **Vorher fragen können.** `GET /files/{id}/delivery` sagt, was geschehen wird: umgepackt oder nicht, welche Tonspuren neu gerechnet werden müssen, welche Untertitel nicht mitkönnen. Drei Gigabyte zu laden und erst danach zu merken, dass die falsche Tonspur drin ist, war der Anlass für das Ganze. **Umgepackt wird auf die Platte, nicht in die Antwort.** Der bequeme Weg wäre, ffmpeg durchzureichen. Dann kennt aber niemand die Länge im Voraus: kein Fortschrittsbalken, kein Fortsetzen, kein Springen. Jetzt kommt beim ersten Abruf ein 202 mit Fortschritt, danach die fertige Datei mit `Content-Length` und `Accept-Ranges`. **Bildbasierte Untertitel fallen weg, und das steht im Plan.** PGS passt in keine MP4 — betrifft fast jeden Blu-ray-Rip. Stillschweigend wegzulassen hiesse, jemanden nach Untertiteln suchen zu lassen, die der Server bewusst entfernt hat. --- **Zwei Funde aus echten Messungen:** *Die Spurnamen überlebten das Umpacken nicht* — „Deutsch" kam als `null` an, und damit wären zwei deutsche Tonspuren hinterher nicht mehr zu unterscheiden gewesen. Ein Versuch an einer echten Datei zeigte den Grund: **MP4 nennt das Feld `name`, Matroska nennt es `title`.** ffmpeg schreibt das eine ins andere um; mein Leser kannte nur `title`. Keine Grenze des Formats, ein Lesefehler. `handler_name` steht ausdrücklich nicht in der Suche — dort schreibt ffmpeg „SoundHandler" hinein. *Der Image-Bau brach mit Code 100 ab.* `intel-media-va-driver` gibt es für arm64 nicht, und die Meldung verrät nicht, welches von sechs Paketen fehlt. Die Intel-Treiber kommen jetzt nur auf amd64 dazu; `mesa-va-drivers` bedient AMD auf beiden. --- **Die ffmpeg-Zeile ist eine reine Funktion und wird ohne Ausführen geprüft.** Hier liegt die Erfahrung dieser Woche: eine falsche Parameterkombination kostete Tage, weil sie nur gegen einen echten Server zu entdecken war. Dazu gehört die Verwechslung, vor der jetzt ein Test steht: `-c:a:1` meint die zweite Tonspur der **Ausgabe**, nicht Spur 1 der Datei. ffmpeg läuft als eigener Prozess, nicht als eingebundene Bibliothek — das hält die Lizenzen getrennt und lässt einen Absturz dort den Server nicht mitnehmen. 223 Tests grün (98 Kern, 31 Metadaten, 26 Medien, 68 Schnittstelle). Image baut für amd64 und arm64, mit ffmpeg 6.1.1 und VAAPI. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 17:14:55 +02:00
ScarriffleandClaude Opus 5	acfe2668a8	Stufe 2b: Metadaten von TMDB — und ein Testlauf, der 19-mal schneller ist ... Titel, Beschreibungen und Bilder kommen jetzt von TMDB. Dazu zwei Fehler, die erst das Zusammenspiel zeigte. **Der Anbieter steckt hinter einer Schnittstelle, und das ist kein Vorrat für einen zweiten.** Es geht darum, dass alles, was darauf aufbaut, *ohne Netz und ohne Schlüssel* prüfbar bleibt. Ein Projekt, dessen Tests einen fremden Dienst brauchen, hat am Ende keine Tests: sie scheitern, wenn das WLAN hakt, und irgendwann schaltet sie jemand ab. **Ein Fehlschlag bei TMDB ist kein Abbruch.** Kein Netz, Kontingent erschöpft, ein Anmeldeportal im Hotel-WLAN, das HTML mit Status 200 schickt — in allen Fällen bleibt der Titel beim Dateinamen und der Scan läuft durch. Die eine Ausnahme ist ein zurückgewiesener Schlüssel: „nichts gefunden" und „dein Schlüssel ist falsch" sehen in der Mediathek gleich aus, und ohne diese Unterscheidung sucht jemand stundenlang. Der Schlüssel steht im Scanbericht. **Der Schlüssel kommt nie wieder heraus.** Abgefragt wird nur, ob einer da ist — sonst gäbe die Oberfläche jedem Angemeldeten das TMDB-Kontingent des Betreibers in die Hand. Geprüft, dass er nicht einmal versehentlich im Antwortkörper steht. **Bilder holt die App bei Halo, nicht bei TMDB.** Sonst bräuchte sie Internet für ein Plakat, das zehn Zentimeter weiter auf der Platte liegt — und TMDB erführe, wer wann was ansieht. Der Schlüssel ist der Hash der Quelladresse, also lädt dasselbe Plakat nie zweimal. Dass daraus kein Weg ins Dateisystem wird, ist eigens geprüft: ohne die Formprüfung wäre `/api/v1/images/../../config/halo.db` ein Weg, die Datenbank samt aller Token-Fingerabdrücke herunterzuladen. --- **Der erste Fehler: nach dem Eintragen der Metadaten legte der nächste Scan den Film erneut an.** Zugeordnet wurde über den Titel — und den hatte TMDB gerade von „The Matrix" auf „Matrix" geändert. Beim übernächsten Lauf dasselbe noch einmal. Das ist die Sorte Fehler, die man erst nach Wochen bemerkt, wenn jeder Film fünfmal dasteht. Jetzt gibt es `ParsedTitle`: den Titel aus dem Dateinamen, der sich nie ändert, und nur der entscheidet beim Zuordnen. **Der zweite Fehler kostete 15 Minuten je Testlauf.** Zwei Tests löschen die Pfadvariablen, um den Rückfall auf die Voreinstellung zu prüfen — und liessen sie gelöscht zurück. Jeder danach gestartete Testserver fiel dann auf `<Projektverzeichnis>/data` zurück, und Dutzende Server teilten sich **eine** SQLite-Datei, auf die sie der Reihe nach warteten. Dazu wartete jeder Host beim Herunterfahren die vollen fünf Sekunden. Gefunden durch Halbieren, nicht durch Raten: einzeln war jede Testklasse schnell, zusammen nicht. Der Beweis lag am Ende als leeres Verzeichnis `src/Halo.Api/data` auf der Platte. **15 Minuten 32 → 49 Sekunden.** 180 Tests grün. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 16:52:46 +02:00
ScarriffleandClaude Opus 5	156c740330	Halo-Server, Stufe 1: Benutzer, Anmeldung, Einrichtung ... Der Anfang eines eigenen Medienservers — C#, .NET 10, SQLite, im Container für amd64 und arm64. Stufe 1 von fünf: er spielt noch keinen Film ab, aber ein Fremder kann ihn in Betrieb nehmen, und genau daran scheitern solche Projekte sonst als Erstes. **Was läuft, gegen den laufenden Container gemessen** — nicht gegen einen Prüfstand: Gesundheitsfrage, Einrichtungsassistent, zweiter Einrichtungsversuch abgelehnt (409), Anmeldung, falsches Passwort abgelehnt (401), und der ganze Weg der Code-Anmeldung vom Bildschirm bis zum Token. **Drei Entscheidungen, die beim Lesen Fragen aufwerfen:** *Zeitpunkte liegen als Unix-Millisekunden in der Datenbank.* SQLite hat keinen Zeittyp; EF legt einen `DateTimeOffset` sonst als Text mitsamt Zonenversatz ab, und dann steht `…T12:00+02:00` neben `…T11:00Z` — derselbe Augenblick, als Text falsch herum sortiert. EF weigert sich deshalb, `ExpiresAt > jetzt` überhaupt zu übersetzen; das war der erste echte Fehlschlag und ist jetzt eine Typumwandlung für das ganze Modell statt je Eigenschaft. *Token sind keine JWT.* Der Server schlägt sie nach, statt sie zu prüfen — nur so lässt sich ein verlorenes Telefon sofort aussperren. In der Datenbank steht allein der Fingerabdruck. *Der Code am Fernseher holt nie selbst ein Token ab.* Dafür gibt es den Abholschein, den nur das anfragende Gerät kennt. Ohne ihn wären sechsstellige Codes ein Türschloss mit einer Million Schlüsseln — in Minuten durchprobiert. Dass ein erratener Schein nichts bekommt, ist die wichtigste der 55 Prüfungen. **Zwei Fehler, die erst der echte Container zeigte:** `EnsureExists` legte nur an und prüfte nicht, ob sich schreiben lässt — bei einem vorhandenen, aber gesperrten Verzeichnis meldete es Erfolg, und der Server starb zehn Zeilen später an „unable to open database file". Diese Meldung nennt weder das Verzeichnis noch verrät sie, dass es um Dateirechte geht. Jetzt wird tatsächlich geschrieben, und die Meldung nennt Variable, Pfad, die eigene Kennung und den nächsten Schritt. Und: Docker legt den Einhängepunkt eines frischen benannten Volumes als `root` an, wenn das Verzeichnis im Image fehlt. Das traf jeden, der ohne Bind Mount startet. Die drei Verzeichnisse werden jetzt im Image angelegt und übereignet. **Die Lizenz ist eine Bauvorschrift, keine Fussnote.** GPL-2.0-only verträgt sich nicht mit Apache-2.0 — dessen Patentklausel gilt unter Abschnitt 6 als „weitere Einschränkung". Darum steht in `LICENSES.md`, dass vor jedem `PackageReference` die Lizenz zu prüfen ist, und darum ist das Testwerk NUnit (MIT) und nicht xUnit (Apache-2.0). Alle vier Pakete sind geprüft MIT. Die Apps stehen unter MPL-2.0 statt GPL, weil GPL und App Store sich nicht vertragen — Apple entfernte 2011 VLC aus dem Store, nachdem ein Rechteinhaber sich auf Abschnitt 6 berufen hatte. 55 Tests grün. Image baut für linux/amd64 und linux/arm64. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-10-03 12:13:47 +02:00