Der Kunde hat den Motiv-Entwurf zu ${escHtml(o.order_number)} freigegeben – kann in den Druck.
` - : `Änderungswunsch zum Motiv-Entwurf ${escHtml(o.order_number)}:
${escHtml(note)}
`); - return res.json({ ok: true, status: neu }); - } catch (e) { - logger.error(`[skrift-orders] freigabe POST: ${e.message}`); - return res.status(500).json({ error: 'Konnte nicht gespeichert werden.' }); - } - }); - - /** Aktuelles Kontingent abfragen, ohne etwas zu verbrauchen. */ - router.get('/preview/quota', async (req, res) => { - try { - const kennung = norm(req.query.email) || String(req.query.client_id || '').slice(0, 64); - if (!kennung) return res.json({ remaining: PREVIEW_LIMIT, limit: PREVIEW_LIMIT }); - const schema = await getSchema(); - const heute = new Date().toISOString().slice(0, 10); - const row = (await new ItemsService('preview_usage', { schema, accountability: null }).readByQuery({ - filter: { key: { _eq: kennung }, day: { _eq: heute } }, limit: 1, fields: ['count'], - }))?.[0]; - return res.json({ remaining: Math.max(0, PREVIEW_LIMIT - (row?.count ?? 0)), limit: PREVIEW_LIMIT }); - } catch { - return res.json({ remaining: PREVIEW_LIMIT, limit: PREVIEW_LIMIT }); - } - }); - - // ── Auftragsdateien (Direktzugriff auf den Ausgabe-Ordner, keine Kopie) ──── - // Zugriff: App-Nutzer (Staff/Admin) ODER der Produktions-Agent (Rolle Service). - let _serviceRoleId; - async function serviceRoleId() { - if (_serviceRoleId !== undefined) return _serviceRoleId; - try { - const rows = await new ItemsService('directus_roles', { schema: await getSchema(), accountability: null }) - .readByQuery({ filter: { name: { _eq: 'Service' } }, limit: 1, fields: ['id'] }); - _serviceRoleId = rows?.[0]?.id ?? null; - } catch { _serviceRoleId = null; } - return _serviceRoleId; - } - async function darfDateien(req) { - const acc = req.accountability; - if (!acc || !acc.user) return false; - if (acc.admin || acc.app) return true; // Operator im Admin - const svc = await serviceRoleId(); - return !!(svc && acc.role === svc); // Produktions-Agent - } - const safeOrder = (s) => (/^[A-Za-z0-9_-]+$/.test(String(s || '')) ? String(s) : null); - - /** Listet die Dateien eines Auftrags aus dem gemounteten Ausgabe-Ordner. */ - function listeDateien(orderNummer) { - const basis = path.join(OUTPUT_DIR, orderNummer); - let root; - try { root = fs.readdirSync(basis); } catch { return null; } // Ordner (noch) nicht da - const out = []; - const add = (rel, kind) => { - try { - const st = fs.statSync(path.join(basis, rel)); - if (st.isFile()) out.push({ name: path.basename(rel), rel, kind, size: st.size }); - } catch { /* ignore */ } - }; - for (const f of root) { - if (/\.csv$/i.test(f)) add(f, 'platzhalter'); - else if (/\.svg$/i.test(f)) add(f, 'schriftstueck'); - } - try { - for (const f of fs.readdirSync(path.join(basis, 'umschlaege'))) { - if (/\.svg$/i.test(f)) add(path.join('umschlaege', f), 'umschlag'); - } - } catch { /* keine Umschläge */ } - return out; - } - - router.get('/files/:order', async (req, res) => { - if (!(await darfDateien(req))) return res.status(403).json({ error: 'Kein Zugriff.' }); - const nummer = safeOrder(req.params.order); - if (!nummer) return res.status(400).json({ error: 'Ungültige Auftragsnummer.' }); - const files = listeDateien(nummer); - if (files === null) return res.json({ files: [], exists: false }); - return res.json({ files, exists: true }); - }); - - router.get('/files/:order/download', async (req, res) => { - if (!(await darfDateien(req))) return res.status(403).json({ error: 'Kein Zugriff.' }); - const nummer = safeOrder(req.params.order); - const rel = String(req.query.rel || ''); - if (!nummer || rel.includes('..') || rel.startsWith('/') || rel.startsWith('\\')) { - return res.status(400).json({ error: 'Ungültiger Pfad.' }); - } - const basis = path.resolve(OUTPUT_DIR, nummer); - const ziel = path.resolve(basis, rel); - // Pfad muss innerhalb des Auftragsordners liegen (kein Ausbruch). - if (ziel !== basis && !ziel.startsWith(basis + path.sep)) { - return res.status(400).json({ error: 'Ungültiger Pfad.' }); - } - if (!fs.existsSync(ziel) || !fs.statSync(ziel).isFile()) { - return res.status(404).json({ error: 'Datei nicht gefunden.' }); - } - const typ = ziel.endsWith('.svg') ? 'image/svg+xml' - : ziel.endsWith('.csv') ? 'text/csv; charset=utf-8' : 'application/octet-stream'; - res.setHeader('Content-Type', typ); - res.setHeader('Content-Disposition', `attachment; filename="${path.basename(ziel)}"`); - fs.createReadStream(ziel).pipe(res); - }); - - // ── Charge-Sammel-PDF ────────────────────────────────────────────────────── - // Führt die Brief-PDFs mehrerer API-Aufträge (Datei-Produkte) im Backend zu - // EINER PDF zusammen und reicht sie ans Admin-Board durch (Bürodrucker). - // Body: { orderIds: (number|string)[] } - router.post('/charge/pdf', async (req, res) => { - const acc = req.accountability; - if (!acc || !acc.user || !(acc.admin || acc.app)) return res.status(403).json({ error: 'Kein Zugriff.' }); - const orderIds = Array.isArray(req.body?.orderIds) ? req.body.orderIds.filter((v) => v != null) : []; - if (!orderIds.length) return res.status(400).json({ error: 'orderIds (Array) erforderlich.' }); - try { - const r = await fetch(`${BACKEND_URL}/api/charge/merge-pdf`, { - method: 'POST', - headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, - body: JSON.stringify({ orderIds }), - }); - if (!r.ok) { - let msg = 'Sammel-PDF fehlgeschlagen.'; - try { msg = (await r.json())?.message || msg; } catch { /* ignore */ } - return res.status(r.status === 400 || r.status === 404 ? r.status : 502).json({ error: msg }); - } - const buf = Buffer.from(await r.arrayBuffer()); - res.setHeader('Content-Type', 'application/pdf'); - res.setHeader('Content-Disposition', 'attachment; filename="charge.pdf"'); - return res.send(buf); - } catch (e) { - logger.warn(`[skrift-orders] charge/pdf: ${e.message}`); - return res.status(502).json({ error: 'Backend nicht erreichbar.' }); - } - }); - - // ── Druckauftrag einreihen (manueller Trigger aus dem Admin) ─────────────── - // Legt pro Typ (Schriftstück / Umschlag) einen Job mit aufgelöstem Template - // für die gewählte Maschine an. Kein Statuswechsel am Auftrag (bewusst). - const LETTER_TPL = { a4: 'a4_single', a6_hoch: 'a6_v1', a6_quer: 'a6l_v1' }; - const ENVELOPE_TPL = { dinlang: 'kuvert_a_v1', c6: 'kuvert_b_v1' }; - // Lesbare Labels + Format-Schlüssel je Job-Typ. Der Schlüssel steuert die - // Format-Warteschlange (Agent druckt nur Jobs mit passendem machines.current_format). - const ENV_LABEL = { dinlang: 'DIN Lang', c6: 'C6' }; - const LETTER_LABEL = { a4: 'A4', a6_hoch: 'A6 hoch', a6_quer: 'A6 quer' }; - const briefFormatOf = (order) => ({ key: order.format?.key || 'a4', label: order.format?.name || LETTER_LABEL[order.format?.key] || order.format?.key || 'A4' }); - const umschlagFormatOf = (order) => ({ key: order.envelope_format || 'c6', label: ENV_LABEL[order.envelope_format] || order.envelope_format || 'C6' }); - - router.post('/enqueue', async (req, res) => { - const acc = req.accountability; - if (!acc || !acc.user || !(acc.admin || acc.app)) return res.status(403).json({ error: 'Kein Zugriff.' }); - const body = req.body || {}; - if (!body.order || !body.machine) return res.status(400).json({ error: 'order und machine erforderlich.' }); - try { - const schema = await getSchema(); - const svc = (c) => new ItemsService(c, { schema, accountability: null }); - const order = await svc('orders').readOne(body.order, { - fields: ['id', 'order_number', 'format.key', 'format.name', 'needs_envelope', 'envelope_labeling', 'envelope_format'], - }); - if (!order) return res.status(404).json({ error: 'Auftrag nicht gefunden.' }); - - const tplByKey = async (key) => (await svc('format_templates').readByQuery({ - filter: { key: { _eq: key } }, limit: 1, fields: ['id'], - }))?.[0]?.id ?? null; - - // Läuft auf dieser Maschine gerade ein Druck? → nur Warteschlange möglich. - const laufend = await svc('jobs').readByQuery({ - filter: { machine: { _eq: body.machine }, status: { _eq: 'printing' } }, limit: 1, fields: ['id'], - }); - const busy = !!(laufend && laufend.length); - const modus = (body.mode === 'direct' && !busy) ? 'direct' : 'queue'; - const prio = modus === 'direct' ? 100 : 0; - - // Reinigt eine Maß-Übersteuerung auf erlaubte Zahlenfelder (oder null). - const clampParams = (p) => { - if (!p || typeof p !== 'object') return null; - const out = {}; - for (const k of ['width', 'height', 'xpos', 'ypos', 'scale', 'rotation']) { - if (p[k] !== undefined && p[k] !== null && p[k] !== '' && !isNaN(Number(p[k]))) out[k] = Number(p[k]); - } - return Object.keys(out).length ? out : null; - }; - - const jobs = []; - // Neue, ausführliche Form: explizite Abschnitte (Brief/Umschlag) aus dem Popup. - const s = body.sections; - if (s && typeof s === 'object') { - for (const typ of ['brief', 'umschlag']) { - const sec = s[typ]; - if (!sec || sec.enabled === false) continue; - if (!sec.template) return res.status(400).json({ error: `Template für ${typ} fehlt.` }); - const fmt = typ === 'umschlag' ? umschlagFormatOf(order) : briefFormatOf(order); - jobs.push(await svc('jobs').createOne({ - order: order.id, machine: body.machine, type: typ, template: sec.template, - format: fmt.key, format_label: fmt.label, - params: clampParams(sec.params), numbers: (typeof sec.numbers === 'string' && sec.numbers.trim()) ? sec.numbers.trim() : null, - status: 'queued', priority: prio, - })); - } - if (!jobs.length) return res.status(400).json({ error: 'Kein Abschnitt zum Drucken gewählt.' }); - } else { - // Alte, einfache Form (Auftrags-Button): Brief + ggf. Umschlag automatisch. - const bf = briefFormatOf(order); - const briefTpl = await tplByKey(LETTER_TPL[order.format?.key] || 'a4_single'); - jobs.push(await svc('jobs').createOne({ - order: order.id, machine: body.machine, type: 'brief', template: briefTpl, - format: bf.key, format_label: bf.label, status: 'queued', priority: prio, - })); - if (order.needs_envelope && order.envelope_labeling && order.envelope_labeling !== 'keine') { - const ef = umschlagFormatOf(order); - const envTpl = await tplByKey(ENVELOPE_TPL[order.envelope_format] || 'kuvert_a_v1'); - jobs.push(await svc('jobs').createOne({ - order: order.id, machine: body.machine, type: 'umschlag', template: envTpl, - format: ef.key, format_label: ef.label, status: 'queued', priority: prio, - })); - } - } - return res.json({ ok: true, jobs, mode: modus, busy }); - } catch (err) { - logger.error(`[skrift-orders] enqueue: ${err.stack || err.message}`); - return res.status(500).json({ error: 'Einreihen fehlgeschlagen.' }); - } - }); - - // ── Sammel-Druck: mehrere Aufträge auf einmal einreihen ──────────────────── - // Body: { orders:[id…], mode:'queue'|'direct', - // byFormat:{ 'Neue Angebotsanfrage – im Board unter „Neu".
` - + felderHtml([ - ['Vorname', clean(vorname)], ['Nachname', clean(nachname)], - ['E-Mail', email], ['Telefon', clean(phone)], - ['Produkt', product ? clean(product) : ''], - ['Menge', Number.isFinite(quantity) && quantity > 0 ? quantity : ''], - ['Vorhaben', clean(message)], - ])); - - return res.json({ ok: true }); - } catch (err) { - logger.error(`[skrift-orders] offer-request: ${err.stack || err.message}`); - return res.status(500).json({ error: 'Anfrage konnte nicht gespeichert werden.' }); - } - }); - - // ── Musterbestellung (kostenlos) ───────────────────────────────────────── - router.post('/sample-request', async (req, res) => { - const body = req.body || {}; - // Diagnose: welche Feldnamen kommen rein + welche davon GEFÜLLT (Werte selbst - // NICHT loggen – Datenschutz). So sieht man, ob WP z. B. name/ort leer schickt. - try { - logger.info('[skrift-orders] sample-request Felder: ' + JSON.stringify(Object.keys(body)) - + ' | gefüllt: ' + JSON.stringify(Object.keys(body).filter((k) => String(body[k] ?? '').trim()))); - } catch { /* egal */ } - const email = norm(feldWert(body, 'email', 'e_mail', 'e-mail', 'mail')); - // Feld-Aliase (App + WordPress + gängige Varianten). App-Feldnamen haben Vorrang. - const first = feldWert(body, 'first_name', 'vorname', 'firstname', 'first', 'given_name'); - const last = feldWert(body, 'last_name', 'nachname', 'name', 'lastname', 'surname', 'familienname'); - const product = feldWert(body, 'product', 'produkt_interesse', 'produkt', 'produkt_interese'); - const phone = feldWert(body, 'phone', 'telefon', 'tel', 'telephone', 'telefonnummer'); - const street = feldWert(body, 'street', 'strasse', 'straße', 'adresse', 'address', 'strasse_hausnummer'); - const zip = feldWert(body, 'zip', 'zipcode', 'plz', 'postleitzahl', 'postal_code'); - const city = feldWert(body, 'city', 'ort', 'stadt', 'wohnort'); - const country = feldWert(body, 'country', 'land'); - const vollName = [first, last].filter(Boolean).join(' '); - const errors = []; - if (!product) errors.push('Produkt fehlt.'); - if (!vollName) errors.push('Name fehlt.'); - if (!isEmail(email)) errors.push('Gültige E-Mail-Adresse fehlt.'); - if (!street || !zip || !city) errors.push('Lieferadresse unvollständig.'); - if (errors.length) return res.status(400).json({ errors }); - - try { - const schema = await getSchema(); - const svc = (c) => new ItemsService(c, { schema, accountability: null }); - const { settings } = await loadPricingContext(schema); - const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); - - const customer = (await new UsersService({ schema, accountability: null }).readByQuery({ - filter: { email: { _eq: email } }, limit: 1, fields: ['id'], - }))?.[0]; - - await svc('offer_requests').createOne({ - type: 'muster', - name: clean(vollName), - email, - phone: clean(phone) || null, - product: clean(product), - message: clean(String(body.message || '').trim().slice(0, 1000)) || null, - address: { - first_name: clean(first), - last_name: clean(last), - street: clean(street), - zip: clean(zip), - city: clean(city), - country: clean(country), - }, - status: 'neu', - customer: customer?.id ?? null, - }); - - const musterNachricht = clean(String(body.message || '').trim().slice(0, 2000)); - await teamMail(schema, `Neue Musteranfrage: ${clean(vollName)}`, - `Neue Musteranfrage – im Board unter „Neu".
` - + felderHtml([ - ['Vorname', clean(first)], ['Nachname', clean(last)], - ['E-Mail', email], ['Telefon', clean(phone)], ['Produkt', clean(product)], - ['Straße', clean(street)], ['PLZ', clean(zip)], ['Ort', clean(city)], ['Land', clean(country)], - ['Nachricht', musterNachricht], - ])); - - return res.json({ ok: true }); - } catch (err) { - logger.error(`[skrift-orders] sample-request: ${err.stack || err.message}`); - return res.status(500).json({ error: 'Musterbestellung konnte nicht gespeichert werden.' }); - } - }); - - // ── Webhook: Anfragen direkt aus WordPress (JetFormBuilder) ──────────────── - // POST /skrift-orders/inbound/:kind (kind = 'muster' | 'anfrage') - // Öffentlich erreichbar, daher mit Shared-Secret gesichert (SKRIFT_WEBHOOK_TOKEN, - // per ?token= oder Header X-Webhook-Token). Feldnamen = JetFormBuilder-Felder. - // JetFormBuilder sendet meist application/x-www-form-urlencoded – das parst - // Directus für Custom-Endpunkte NICHT in req.body. Daher lesen wir den - // Rohbody hier selbst und interpretieren ihn als urlencoded oder JSON. - router.use('/inbound', (req, res, next) => { - if (req.method !== 'POST') return next(); - if (req.body && typeof req.body === 'object' && Object.keys(req.body).length) return next(); - let raw = ''; - req.setEncoding('utf8'); - req.on('data', (c) => { raw += c; if (raw.length > 1000000) req.destroy(); }); - req.on('end', () => { - const s = raw.trim(); - if (s) { - try { req.body = JSON.parse(s); } - catch { req.body = Object.fromEntries(new URLSearchParams(s)); } - } - next(); - }); - req.on('error', () => next()); - }); - - router.post('/inbound/:kind', async (req, res) => { - // Body ist durch die /inbound-Middleware bereits geparst (JSON/urlencoded). - let body = req.body || {}; - if (typeof body === 'string') { - try { body = JSON.parse(body); } - catch { body = Object.fromEntries(new URLSearchParams(body)); } - } - const kind = String(req.params.kind || '').toLowerCase(); - // Immer protokollieren, damit im Directus-Log sichtbar ist, was ankommt. - // „v2" + gefüllt=[…] zeigt, dass der neue Mapping-Code läuft und WELCHE Felder - // wirklich einen Wert haben (leere werden nicht gelistet). - const gefuellt = Object.keys(body).filter((k) => String(body[k] ?? '').trim()); - logger.info(`[skrift-orders] inbound/${kind} v2: content-type=${req.get('content-type') || '—'}, ` - + `felder=[${Object.keys(body).join(',')}], gefüllt=[${gefuellt.join(',')}], ` - + `token=${req.query.token ? 'query' : (req.get('x-webhook-token') ? 'header' : (body.token ? 'body' : 'keiner'))}`); - - const secret = process.env.SKRIFT_WEBHOOK_TOKEN || ''; - const provided = req.query.token || req.get('x-webhook-token') || body.token || ''; - if (!secret) { - logger.warn('[skrift-orders] inbound: SKRIFT_WEBHOOK_TOKEN ist nicht gesetzt – Webhook abgelehnt.'); - return res.status(401).json({ error: 'Webhook nicht konfiguriert (SKRIFT_WEBHOOK_TOKEN fehlt serverseitig).' }); - } - if (String(provided) !== secret) { - return res.status(401).json({ error: 'Ungültiger oder fehlender Webhook-Token.' }); - } - if (!['muster', 'anfrage'].includes(kind)) return res.status(404).json({ error: 'Unbekannter Hook (muster|anfrage).' }); - - // WP schickt Vor-/Nachname GETRENNT: vorname + name(=Nachname). Anzeigename = beides. - const vorname = feldWert(body, 'vorname', 'first_name', 'firstname'); - const nachname = feldWert(body, 'name', 'nachname', 'last_name', 'lastname'); - const name = [vorname, nachname].filter(Boolean).join(' '); - const email = norm(feldWert(body, 'email', 'e_mail', 'e-mail', 'mail')); - if (!name) return res.status(400).json({ error: 'Name fehlt.', felder: Object.keys(body) }); - if (!isEmail(email)) return res.status(400).json({ error: 'Gültige E-Mail-Adresse fehlt.', felder: Object.keys(body) }); - - try { - const schema = await getSchema(); - const svc = (c) => new ItemsService(c, { schema, accountability: null }); - const { settings } = await loadPricingContext(schema); - const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); - - const customer = (await new UsersService({ schema, accountability: null }).readByQuery({ - filter: { email: { _eq: email } }, limit: 1, fields: ['id'], - }))?.[0]; - - const phone = clean(feldWert(body, 'telefon', 'phone', 'tel', 'telefonnummer')) || null; - - let record; let subject; let mailHtml; - if (kind === 'muster') { - const produkt = feldWert(body, 'produkt_interesse', 'product', 'produkt'); - const strasse = feldWert(body, 'street', 'strasse', 'straße', 'adresse'); - const plz = feldWert(body, 'zipcode', 'zip', 'plz', 'postleitzahl'); - const ort = feldWert(body, 'ort', 'city', 'stadt', 'wohnort'); - const land = feldWert(body, 'country', 'land'); - record = { - type: 'muster', name: clean(name), email, phone, product: produkt ? clean(produkt) : null, message: null, - address: { - first_name: clean(vorname), - last_name: clean(nachname), - street: clean(strasse), - zip: clean(plz), - city: clean(ort), - country: clean(land), - }, - status: 'neu', customer: customer?.id ?? null, - }; - subject = `Neue Musteranfrage: ${name}`; - mailHtml = felderHtml([ - ['Vorname', clean(vorname)], ['Nachname', clean(nachname)], - ['E-Mail', email], ['Telefon', phone], ['Produkt', produkt ? clean(produkt) : ''], - ['Straße', clean(strasse)], ['PLZ', clean(plz)], ['Ort', clean(ort)], ['Land', clean(land)], - ]); - } else { - const unternehmen = clean(String(body.unternehmen || '').trim()); - const nachricht = clean(String(body.nachricht || body.message || '').trim()); - // offer_requests hat kein Firmenfeld → Unternehmen der Nachricht voranstellen. - const message = [unternehmen ? `Unternehmen: ${unternehmen}` : '', nachricht].filter(Boolean).join('\n\n') || null; - record = { - type: 'angebot', name: clean(name), email, phone, product: null, message, - status: 'neu', customer: customer?.id ?? null, - }; - subject = `Neue Angebotsanfrage: ${name}`; - mailHtml = felderHtml([ - ['Vorname', clean(vorname)], ['Nachname', clean(nachname)], ['Unternehmen', unternehmen], - ['E-Mail', email], ['Telefon', phone], ['Nachricht', nachricht], - ]); - } - - // „Gesamter Inhalt": alle übermittelten Felder (außer technische) mit anhängen, - // damit auch nicht standardisierte Formularfelder in der Mail landen. - const TECH = new Set(['token', 'dataprotection', '__form_id', '__refer', '__is_ajax', '__is_ajax_submit']); - const rest = Object.entries(body).filter(([k, v]) => !TECH.has(k.toLowerCase()) && String(v ?? '').trim()); - if (rest.length) mailHtml += `Alle übermittelten Felder:
` + felderHtml(rest.map(([k, v]) => [k, clean(String(v))])); - - await svc('offer_requests').createOne(record); - logger.info(`[skrift-orders] inbound/${kind}: Anfrage von ${email} gespeichert.`); - - // Schlanke interne Benachrichtigung (Kunden-Autoresponder macht JetFormBuilder). - await teamMail(schema, subject, mailHtml); - - return res.json({ ok: true }); - } catch (err) { - logger.error(`[skrift-orders] inbound/${kind}: ${err.stack || err.message}`); - return res.status(500).json({ error: 'Anfrage konnte nicht gespeichert werden.' }); - } - }); - - // ── Manueller Auftrag (Admin) ──────────────────────────────────────────── - // Legt intern einen Auftrag an (keine Zahlung, keine Datei-Eingabe), erzeugt - // die SVGs (Vorschau 1:1) und stellt ihn als „eingegangen" ins Board. Nutzt - // dieselben Bausteine wie die öffentliche Anlage – keine Doppellogik. - // Schriftstück(e) + Kuvert(e) eines/mehrerer Aufträge neu generieren (Operator). - router.post('/regenerate', async (req, res) => { - const acc = req.accountability; - if (!acc || !acc.user || !(acc.admin || acc.app)) return res.status(403).json({ error: 'Kein Zugriff.' }); - const body = req.body || {}; - const ids = Array.isArray(body.orders) ? body.orders : (body.order != null ? [body.order] : []); - if (!ids.length) return res.status(400).json({ error: 'Keine Auftrags-ID.' }); - try { - const schema = await getSchema(); - const svc = (c) => new ItemsService(c, { schema, accountability: null }); - let ok = 0; - for (const id of ids) { - // Vorschau-Session lösen → frisch rendern (nicht 1:1 aus der alten Vorschau kopieren). - try { await svc('orders').updateOne(id, { preview_session: null }); } catch { /* egal */ } - try { - const r = await fetch(`${BACKEND_URL}/api/order/from-directus`, { - method: 'POST', headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, - body: JSON.stringify({ orderId: id }), - }); - if (r.ok) ok += 1; - } catch (e) { logger.warn(`[skrift-orders] regenerate ${id}: ${e.message}`); } - } - return res.json({ ok: true, regeneriert: ok, gesamt: ids.length }); - } catch (err) { - logger.error(`[skrift-orders] regenerate: ${err.stack || err.message}`); - return res.status(500).json({ error: 'Neu-Generierung fehlgeschlagen.' }); - } - }); - - router.post('/manual-order', async (req, res) => { - const acc = req.accountability; - if (!acc || !acc.user || !(acc.admin || acc.app)) return res.status(403).json({ error: 'Kein Zugriff.' }); - const body = req.body || {}; - const entries = Array.isArray(body.entries) ? body.entries : []; - if (!body.product) return res.status(400).json({ error: 'Produkt fehlt.' }); - if (!entries.length) return res.status(400).json({ error: 'Mindestens eine Empfängerzeile erforderlich.' }); - try { - const schema = await getSchema(); - const svc = (c) => new ItemsService(c, { schema, accountability: null }); - const { settings } = await loadPricingContext(schema); - const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); - - const product = (await svc('products').readByQuery({ - filter: { key: { _eq: body.product } }, limit: 1, fields: ['id', 'key', 'name', 'type'], - }))?.[0]; - if (!product) return res.status(400).json({ error: 'Unbekanntes Produkt.' }); - - // Preis nur zur Aufzeichnung (kein Gate). - let quote = null; - try { quote = await calculatePrice(schema, { ...body, quantity: entries.length }); } catch { /* egal */ } - - // Kunde per E-Mail verknüpfen – existiert er noch nicht, automatisch anlegen. - let customerId = null, customerEmail = null; - if (body.customer_email && isEmail(norm(body.customer_email))) { - const kundeMail = norm(body.customer_email); - const users = new UsersService({ schema, accountability: null }); - const u = (await users.readByQuery({ filter: { email: { _eq: kundeMail } }, limit: 1, fields: ['id', 'email'] }))?.[0]; - if (u) { customerId = u.id; customerEmail = u.email; } - else { - try { - const role = (await new RolesService({ schema, accountability: null }).readByQuery({ - filter: { name: { _eq: 'Kunde' } }, limit: 1, fields: ['id'], - }))?.[0]; - customerId = await users.createOne({ email: kundeMail, password: zufallsPasswort(), role: role?.id ?? null, status: 'active' }); - customerEmail = kundeMail; - } catch (e) { logger.warn(`[skrift-orders] manual-order Kunde anlegen: ${e.message}`); customerEmail = kundeMail; } - } - } - - let formatId = null; - if (body.format) { - formatId = (await svc('formats').readByQuery({ filter: { key: { _eq: body.format } }, limit: 1, fields: ['id'] }))?.[0]?.id ?? null; - } - // Kuvertformat: explizite Angabe gewinnt; Datei-Produkte (Unterschriften) - // immer DIN Lang; A6/Postkarten → C6; sonst Standard DIN Lang. - const envelopeFormat = body.needs_envelope - ? (body.envelope_format - || (quote.product?.input_mode === 'datei' ? 'dinlang' - : (String(body.format || '').startsWith('a6') ? 'c6' : 'dinlang'))) - : null; - - const istInland = zielInland; - const countAusland = entries.filter((e) => !istInland(e)).length; - - const jt = new Date(); - const praefix = `${String(jt.getDate()).padStart(2, '0')}-${String(jt.getMonth() + 1).padStart(2, '0')}-${String(jt.getFullYear()).slice(2)}`; - const naechsteNummer = async () => { - const heutige = await svc('orders').readByQuery({ filter: { order_number: { _starts_with: `${praefix}-` } }, limit: -1, fields: ['id'] }); - return `${praefix}-${String((heutige?.length ?? 0) + 1).padStart(3, '0')}`; - }; - - const orderData = { - customer: customerId, customer_email: customerEmail, - product: product.id, format: formatId, - person_type: body.person_type === 'unternehmen' ? 'unternehmen' : 'privat', - font: ['tilda', 'alva', 'ellie'].includes(body.font) ? body.font : 'tilda', - realistic: body.realistic !== false, - // Relative Schriftgröße (getrennt Brief/Kuvert), 1 = Standard. - font_scale_letter: Math.max(0.8, Math.min(1.5, Number(body.font_scale_letter) || 1)), - font_scale_envelope: Math.max(0.8, Math.min(1.5, Number(body.font_scale_envelope) || 1)), - // Signatur(en) auf dem Brief (SVG je [[signaturN]]) + Feinjustierung, für die finale Generierung. - signatures_manual: (body.signatures && typeof body.signatures === 'object' && Object.keys(body.signatures).length) - ? { signatures: body.signatures, offsets: (body.signature_offsets && typeof body.signature_offsets === 'object') ? body.signature_offsets : {} } - : null, - // Mehrseitiges Schriftstück (Auto-Fluss). Seiten werden bei der Generierung erzeugt. - multi_page: body.multi_page === true, - source: 'operator', status: 'in_queue', production_status: 'eingegangen', - payment_status: 'bezahlt', payment_method: 'rechnung', - shipping_type: body.shipping_type === 'einzeln' ? 'einzeln' : 'sammel', - needs_envelope: !!body.needs_envelope, - envelope_labeling: body.envelope_labeling ?? null, - envelope_text: clean(body.envelope_text) ?? null, - envelope_format: envelopeFormat, - envelope_sender: clean(body.envelope_sender) ?? null, - envelope_sender_scale: Math.max(0.5, Math.min(2, Number(body.envelope_sender_scale) || 1)), - text_template: clean(body.text_template) ?? null, - preview_session: typeof body.preview_session === 'string' ? body.preview_session : null, - entries_count: entries.length, - count_inland: entries.length - countAusland, count_ausland: countAusland, - net_total: quote?.net_total ?? null, vat_amount: quote?.vat_amount ?? null, gross_total: quote?.gross_total ?? null, - price_lines: quote?.lines ?? null, - }; - - let orderId, orderNumber; - for (let v = 0; v < 6; v += 1) { - orderNumber = await naechsteNummer(); - try { orderId = await svc('orders').createOne({ order_number: orderNumber, ...orderData }); break; } - catch (e) { if (v === 5 || !/unique|duplicate|bereits|exists/i.test(String(e?.message || ''))) throw e; } - } - - const entriesSvc = svc('order_entries'); - let n = 0; - for (const e of entries) { - n += 1; - await entriesSvc.createOne({ - order: orderId, letter_number: n, - salutation: clean(e.salutation) ?? null, first_name: clean(e.first_name) ?? null, last_name: clean(e.last_name) ?? null, - street: clean(e.street) ?? null, house_no: clean(e.house_no) ?? null, zip: clean(e.zip) ?? null, - city: clean(e.city) ?? null, country: clean(e.country) ?? null, free_text: clean(e.free_text) ?? null, - placeholders: e.placeholders && typeof e.placeholders === 'object' - ? Object.fromEntries(Object.entries(e.placeholders).map(([k, v]) => [k, clean(String(v))])) : null, - }); - } - - await svc('status_history').createOne({ order: orderId, status: 'eingegangen', note: 'Manuell im Admin angelegt.' }); - - // Generierung IMMER anstoßen – für jedes Produkt. Das Backend entscheidet, - // was zu erzeugen ist (Schriftstücke bei Handschrift-Produkten, Kuverts immer - // wenn gewünscht; bei Datei-Produkten NUR die Kuverts). Nichts = No-Op. - fetch(`${BACKEND_URL}/api/order/from-directus`, { - method: 'POST', headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, - body: JSON.stringify({ orderId }), - }).catch((e) => logger.warn(`[skrift-orders] Manuell-Generierung nicht gestartet: ${e.message}`)); - - return res.json({ ok: true, order_number: orderNumber, id: orderId }); - } catch (err) { - logger.error(`[skrift-orders] manual-order: ${err.stack || err.message}`); - return res.status(400).json({ error: err.message }); - } - }); - - // ── Auftrag anlegen ────────────────────────────────────────────────────── - router.post('/', async (req, res) => { - const body = req.body || {}; - const errors = validate(body); - if (errors.length) return res.status(400).json({ errors }); - - try { - const schema = await getSchema(); - const svc = (c) => new ItemsService(c, { schema, accountability: null }); - const email = norm(body.email); - const entries = body.entries; - - const { settings } = await loadPricingContext(schema); - const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); - - const quote = await calculatePrice(schema, { ...body, quantity: entries.length, customerId: req.accountability?.user || null }); - - // Zahlungsart erzwingen, wenn über dem PayPal-Limit - let paymentMethod = body.payment_method === 'paypal' ? 'paypal' : 'rechnung'; - if (paymentMethod === 'paypal' && !quote.paypal_allowed) paymentMethod = 'rechnung'; - - // Kunde = Login-Konto (directus_users). Finden oder anlegen – per E-Mail. - const users = new UsersService({ schema, accountability: null }); - let customer = (await users.readByQuery({ - filter: { email: { _eq: email } }, limit: 1, fields: ['id', 'billing_address'], - }))?.[0]; - if (!customer) { - const rolesSvc = new RolesService({ schema, accountability: null }); - const role = (await rolesSvc.readByQuery({ - filter: { name: { _eq: 'Kunde' } }, limit: 1, fields: ['id'], - }))?.[0]; - const id = await users.createOne({ - email, - password: zufallsPasswort(), - role: role?.id ?? null, - status: 'active', - person_type: body.person_type === 'unternehmen' ? 'unternehmen' : 'privat', - first_name: clean(body.first_name) ?? null, - last_name: clean(body.last_name) ?? null, - company: clean(body.company) ?? null, - phone: clean(body.phone) ?? null, - }); - customer = { id, billing_address: null }; - } - - // Rechnungsadresse automatisch ins Konto übernehmen, wenn dort noch KEINE - // hinterlegt ist (bestehende Adresse wird nicht überschrieben). - try { - const b = body.billing && typeof body.billing === 'object' ? body.billing : null; - const hatAdresse = customer.billing_address - && (customer.billing_address.street || customer.billing_address.city); - if (b && (b.street || b.city) && !hatAdresse) { - await users.updateOne(customer.id, { - billing_address: { - street: clean(b.street) || '', zip: clean(b.zip) || '', - city: clean(b.city) || '', country: clean(b.country) || '', - }, - }); - } - } catch (e) { logger.warn(`[skrift-orders] Konto-Adresse nicht übernommen: ${e.message}`); } - - // Spezial-/Kontaktprodukte (z. B. Unterschriftenservice) sind nur - // bestellbar, wenn sie für dieses Konto freigeschaltet wurden. - if (quote.product.type === 'contact') { - const frei = await svc('customer_products').readByQuery({ - filter: { customer: { _eq: customer.id }, product: { _eq: quote.product.id } }, - limit: 1, fields: ['id'], - }); - if (!frei?.length) { - return res.status(403).json({ errors: ['Dieses Produkt ist für Ihr Konto nicht freigeschaltet.'] }); - } - } - - // Format auflösen (optional) - let formatId = null; - if (body.format) { - formatId = (await svc('formats').readByQuery({ - filter: { key: { _eq: body.format } }, limit: 1, fields: ['id'], - }))?.[0]?.id ?? null; - } - - // Umschlagformat automatisch: A6/Postkarte → C6, sonst Standard DIN Lang. - const envelopeFormat = body.needs_envelope - ? (String(body.format || '').startsWith('a6') ? 'c6' : 'dinlang') - : null; - - // Empfänger nach Inland/Ausland aufteilen (für die Auftragsübersicht). - const istInland = zielInland; - const countAusland = entries.filter((e) => !istInland(e)).length; - const countInland = entries.length - countAusland; - - // Fortlaufende Bestellnummer je Tag: dd-mm-yy-NNN (NNN ab 001). - const jt = new Date(); - const praefix = `${String(jt.getDate()).padStart(2, '0')}-${String(jt.getMonth() + 1).padStart(2, '0')}-${String(jt.getFullYear()).slice(2)}`; - const naechsteNummer = async () => { - const heutige = await svc('orders').readByQuery({ - filter: { order_number: { _starts_with: `${praefix}-` } }, limit: -1, fields: ['id'], - }); - return `${praefix}-${String((heutige?.length ?? 0) + 1).padStart(3, '0')}`; - }; - - // Anlegen mit Wiederholung, falls zwei Bestellungen gleichzeitig dieselbe - // Nummer träfen (order_number ist eindeutig). - const orderData = { - customer: customer.id, - customer_email: email, - product: quote.product.id, - // Gewähltes Kundenangebot (Aufschläge sind bereits im Preis) + Namens-Zusatz. - customer_offer: quote.offer?.id ?? null, - product_name_suffix: quote.offer?.name_suffix ?? null, - format: formatId, - person_type: body.person_type === 'unternehmen' ? 'unternehmen' : 'privat', - font: ['tilda', 'alva', 'ellie'].includes(body.font) ? body.font : 'tilda', - // Relative Schriftgröße (v.a. manuelle Aufträge), getrennt Brief/Kuvert. 1 = Standard. - font_scale_letter: Math.max(0.8, Math.min(1.5, Number(body.font_scale_letter) || 1)), - font_scale_envelope: Math.max(0.8, Math.min(1.5, Number(body.font_scale_envelope) || 1)), - source: ['operator', 'portal', 'extern'].includes(body.source) ? body.source : 'configurator', - // Extern (z. B. Etsy) wird über die Plattform bezahlt → nicht auf Zahlung warten. - status: body.source === 'extern' ? 'bezahlt' : 'wartet_auf_zahlung', - shipping_type: body.shipping_type === 'einzeln' ? 'einzeln' : 'sammel', - needs_envelope: !!body.needs_envelope, - envelope_labeling: body.envelope_labeling ?? null, - envelope_text: clean(body.envelope_text) ?? null, - envelope_format: envelopeFormat, - motif_mode: body.motif_mode ?? null, - motif: Number.isFinite(Number(body.motif)) && body.motif ? Number(body.motif) : null, - motif_upload: body.motif_upload || null, - source_file: body.source_file || null, - source_files: Array.isArray(body.source_files) && body.source_files.length - ? body.source_files - : (body.source_file ? [body.source_file] : null), - billing: body.billing && typeof body.billing === 'object' ? body.billing : null, - shipping_address: body.shipping_address && typeof body.shipping_address === 'object' ? body.shipping_address : null, - own_cards: body.motif_mode === 'eigene_karten', - text_template: clean(body.text_template) ?? null, - text_briefing: clean(body.text_briefing) ?? null, - preview_session: typeof body.preview_session === 'string' ? body.preview_session : null, - entries_count: entries.length, - count_inland: countInland, - count_ausland: countAusland, - net_total: quote.net_total, - vat_amount: quote.vat_amount, - gross_total: quote.gross_total, - price_lines: quote.lines ?? null, - voucher: quote.voucher?.id ?? null, - payment_method: paymentMethod, - payment_status: body.source === 'extern' ? 'bezahlt' : 'offen', - }; - - let orderId, orderNumber; - for (let versuch = 0; versuch < 6; versuch += 1) { - orderNumber = await naechsteNummer(); - try { - orderId = await svc('orders').createOne({ order_number: orderNumber, ...orderData }); - break; - } catch (e) { - const dup = /unique|duplicate|bereits|exists/i.test(String(e?.message || '')); - if (versuch === 5 || !dup) throw e; - } - } - - // Empfängerzeilen – Briefnummer wird IMMER vom System vergeben - const entriesSvc = svc('order_entries'); - let n = 0; - for (const e of entries) { - n += 1; - await entriesSvc.createOne({ - order: orderId, - letter_number: n, - salutation: clean(e.salutation) ?? null, - first_name: clean(e.first_name) ?? null, - last_name: clean(e.last_name) ?? null, - street: clean(e.street) ?? null, - house_no: clean(e.house_no) ?? null, - zip: clean(e.zip) ?? null, - city: clean(e.city) ?? null, - country: clean(e.country) ?? null, - free_text: clean(e.free_text) ?? null, - placeholders: e.placeholders && typeof e.placeholders === 'object' - ? Object.fromEntries(Object.entries(e.placeholders).map(([k, v]) => [k, clean(String(v))])) - : null, - // Abweichender Text nur für dieses Schriftstück (#5). - text: (e.text && String(e.text).trim()) ? clean(String(e.text)) : null, - }); - } - - // Zusatzleistungen verknüpfen - if (Array.isArray(body.addons) && body.addons.length) { - const items = await svc('price_items').readByQuery({ - filter: { key: { _in: body.addons }, category: { _eq: 'zusatzleistung' } }, - limit: -1, fields: ['id'], - }); - for (const it of items || []) await svc('order_addons').createOne({ order: orderId, price_item: it.id }); - } - - // Gutschein-Einlösung protokollieren - if (quote.voucher) { - await svc('voucher_redemptions').createOne({ voucher: quote.voucher.id, order: orderId }); - await svc('vouchers').updateOne(quote.voucher.id, { used_count: (quote.voucher.used_count ?? 0) + 1 }); - } - - await svc('status_history').createOne({ - order: orderId, status: 'wartet_auf_zahlung', note: 'Auftrag über den Konfigurator angelegt.', - }); - - // Motiv-Upload (Postkarte) → A6-Entwurf erzeugen + Kundenfreigabe anfordern. - let freigabeToken = null; - const istMotivUpload = body.motif_mode === 'upload' && (body.motif_upload || body.source_file); - if (istMotivUpload) { - freigabeToken = crypto.randomBytes(24).toString('base64url'); - try { await svc('orders').updateOne(orderId, { approval_status: 'pending', approval_token: freigabeToken }); } - catch (e) { logger.warn(`[skrift-orders] Freigabe-Setup: ${e.message}`); } - // A6-Layout asynchron erzeugen – blockiert die Antwort an den Kunden nicht. - erzeugeMotivEntwurf(schema, orderId, body.motif_upload || body.source_file) - .catch((e) => logger.warn(`[skrift-orders] Motiv-Entwurf ${orderNumber}: ${e.message}`)); - } - - // Separate, im Admin editierbare Kunden-Mail für Sonderfälle. - const kundeEmail = norm(body.email); - if (isEmail(kundeEmail)) { - let portal = (process.env.CORS_ORIGIN || 'https://app.skrift.de').split(',')[0].trim(); - try { const es = await svc('email_settings').readSingleton({ fields: ['portal_url'] }); if (es?.portal_url) portal = String(es.portal_url).trim(); } catch { /* Default */ } - const vars = { - order_number: orderNumber, name: [body.first_name, body.last_name].filter(Boolean).join(' '), - freigabe_link: freigabeToken ? `${portal.replace(/\/$/, '')}/freigabe/${freigabeToken}` : '', - }; - if (istMotivUpload) sendeVorlage(schema, 'motiv_freigabe', kundeEmail, vars); - else if (quote.product?.input_mode === 'datei') sendeVorlage(schema, 'unterschriften_eingang', kundeEmail, vars); - else if (body.source === 'extern') sendeVorlage(schema, 'extern_eingang', kundeEmail, vars); - } - - // SVGs automatisch erzeugen, sobald der Kunde den Auftrag abschließt – IMMER - // und für jedes Produkt (das Backend entscheidet, was zu erzeugen ist: - // Schriftstücke bei Handschrift-Produkten, Kuverts immer wenn gewünscht; - // bei Datei-Produkten NUR die Kuverts, nicht das hochgeladene Dokument). - // Feuern & vergessen – blockiert die Antwort an den Kunden nicht. - fetch(`${BACKEND_URL}/api/order/from-directus`, { - method: 'POST', - headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, - body: JSON.stringify({ orderId }), - }).catch((e) => logger.warn(`[skrift-orders] Auto-Generierung nicht gestartet: ${e.message}`)); - - return res.json({ - order_number: orderNumber, - net_total: quote.net_total, vat_amount: quote.vat_amount, gross_total: quote.gross_total, - payment_method: paymentMethod, paypal_allowed: quote.paypal_allowed, - }); - } catch (err) { - logger.error(`[skrift-orders] ${err.stack || err.message}`); - return res.status(400).json({ error: err.message }); - } - }); -}; - -export default { id: 'skrift-orders', handler }; +/** + * Skrift – Bestell-Endpunkt + * --------------------------------------------------------------------------- + * POST /skrift-orders Auftrag anlegen (Gast oder eingeloggt) + * POST /skrift-orders/quote Nur Preis berechnen (für die Live-Anzeige oben) + * + * Grundsatz: Dem Client wird beim Preis NICHT vertraut. Der Betrag wird immer + * serverseitig aus products/price_items/pricing_settings neu berechnet. + * + * Preislogik: + * - Grundpreis → editierbare Formel (pricing_settings.formula), ausgewertet + * von einem sicheren Mini-Interpreter (kein eval). + * - Aufschläge → Versand, Kuvert, Beschriftung, Zusatzleistungen: Struktur im + * Code, Werte aus price_items. + * - Zahlung → ab pricing_settings.paypal_limit_net (netto) nur noch Rechnung. + */ + +import crypto from 'node:crypto'; +import fs from 'node:fs'; +import path from 'node:path'; +import { Readable } from 'node:stream'; + +/** Basisordner der generierten Auftragsdateien (read-only in Directus gemountet). */ +const OUTPUT_DIR = process.env.SKRIFT_OUTPUT_DIR || '/var/skrift-output'; +/** Directus-Upload-Ordner (lokaler Storage) – zum direkten Datei-Lesen. */ +const UPLOAD_ROOT = process.env.STORAGE_LOCAL_ROOT || '/directus/uploads'; + +// ── Sicherer Formel-Interpreter (kein eval) ───────────────────────────────── +// Erlaubt: Zahlen, Variablen, + - * / ( ), unäres Minus, Vergleiche +// (>= <= > < == !=), Ternär (cond ? a : b) und Funktionen sqrt/abs/min/max/ +// round/floor/ceil. Schreibweisen %var% und Math.fn werden vorab normalisiert. +const FORMULA_FUNCS = { + sqrt: Math.sqrt, abs: Math.abs, min: Math.min, max: Math.max, + round: Math.round, floor: Math.floor, ceil: Math.ceil, pow: Math.pow, +}; +function evalFormula(expr, vars) { + const src = String(expr).replace(/%(\w+)%/g, '$1').replace(/Math\./g, ''); + const tokens = src.match(/\d+(?:\.\d+)?|[A-Za-z_]\w*|>=|<=|==|!=|[+\-*/()?:<>,]/g); + if (!tokens) throw new Error('Formel ist leer oder ungültig.'); + + let pos = 0; + const peek = () => tokens[pos]; + const next = () => tokens[pos++]; + const expect = (t) => { if (next() !== t) throw new Error(`Erwartet "${t}" in der Formel.`); }; + + function parseTernary() { + const cond = parseCompare(); + if (peek() === '?') { + next(); + const a = parseTernary(); + expect(':'); + const b = parseTernary(); + return cond ? a : b; + } + return cond; + } + function parseCompare() { + const left = parseAdd(); + const op = peek(); + if (['>=', '<=', '>', '<', '==', '!='].includes(op)) { + next(); + const right = parseAdd(); + if (op === '>=') return left >= right ? 1 : 0; + if (op === '<=') return left <= right ? 1 : 0; + if (op === '>') return left > right ? 1 : 0; + if (op === '<') return left < right ? 1 : 0; + if (op === '==') return left === right ? 1 : 0; + return left !== right ? 1 : 0; + } + return left; + } + function parseAdd() { + let left = parseMul(); + while (peek() === '+' || peek() === '-') { + const op = next(); + const right = parseMul(); + left = op === '+' ? left + right : left - right; + } + return left; + } + function parseMul() { + let left = parseUnary(); + while (peek() === '*' || peek() === '/') { + const op = next(); + const right = parseUnary(); + if (op === '/' && right === 0) throw new Error('Division durch 0 in der Formel.'); + left = op === '*' ? left * right : left / right; + } + return left; + } + function parseUnary() { + if (peek() === '-') { next(); return -parseUnary(); } + return parsePrimary(); + } + function parsePrimary() { + const t = next(); + if (t === undefined) throw new Error('Formel unvollständig.'); + if (t === '(') { const v = parseTernary(); expect(')'); return v; } + if (/^\d/.test(t)) return parseFloat(t); + if (/^[A-Za-z_]/.test(t)) { + if (peek() === '(') { // Funktionsaufruf + next(); + const args = []; + if (peek() !== ')') { + args.push(parseTernary()); + while (peek() === ',') { next(); args.push(parseTernary()); } + } + expect(')'); + const fn = FORMULA_FUNCS[t.toLowerCase()]; + if (!fn) throw new Error(`Unbekannte Funktion: "${t}"`); + return fn(...args); + } + if (Object.prototype.hasOwnProperty.call(vars, t)) return Number(vars[t]) || 0; + throw new Error(`Unbekannte Variable in der Formel: "${t}"`); + } + throw new Error(`Unerwartetes Token: "${t}"`); + } + + const result = parseTernary(); + if (pos !== tokens.length) throw new Error('Formel konnte nicht vollständig gelesen werden.'); + if (!Number.isFinite(result)) throw new Error('Formel ergibt keinen gültigen Wert.'); + return result; +} + +const round2 = (n) => Math.round((Number(n) + Number.EPSILON) * 100) / 100; + +/** Adresse, an die Angebotsanfragen gemeldet werden. */ +const TEAM_EMAIL = process.env.SKRIFT_TEAM_EMAIL || 'hello@skrift.de'; + +/** Backend, das die SVGs erzeugt. */ +const BACKEND_URL = (process.env.SKRIFT_BACKEND_URL || 'http://skrift-backend:4000').replace(/\/$/, ''); +const BACKEND_TOKEN = process.env.SKRIFT_BACKEND_TOKEN || ''; + +/** Vorschauen pro Kennung und Tag. */ +const PREVIEW_LIMIT = Number(process.env.SKRIFT_PREVIEW_LIMIT || 10); +/** Wie viele Dokumente eine Vorschau maximal zurückgibt. */ +const PREVIEW_MAX_DOCS = 3; + +/** PayPal – Server-Zugangsdaten (Secret liegt NUR hier, nie im Frontend). */ +const PAYPAL_CLIENT_ID = process.env.PAYPAL_CLIENT_ID || ''; +const PAYPAL_SECRET = process.env.PAYPAL_CLIENT_SECRET || ''; +const PAYPAL_API = (process.env.PAYPAL_ENV || 'sandbox') === 'live' + ? 'https://api-m.paypal.com' + : 'https://api-m.sandbox.paypal.com'; + +/** OAuth-Token für die PayPal-REST-API holen. */ +async function paypalToken() { + const auth = Buffer.from(`${PAYPAL_CLIENT_ID}:${PAYPAL_SECRET}`).toString('base64'); + const r = await fetch(`${PAYPAL_API}/v1/oauth2/token`, { + method: 'POST', + headers: { Authorization: `Basic ${auth}`, 'Content-Type': 'application/x-www-form-urlencoded' }, + body: 'grant_type=client_credentials', + }); + if (!r.ok) throw new Error(`PayPal-Token: ${r.status}`); + return (await r.json()).access_token; +} + +/** + * Zielland-Erkennung je Empfänger für den Länder-Split. + * Deutschland, wenn: Land = DE/leer, „Deutschland"/„Germany" im Freitext, + * „D-" vor der PLZ, oder nur eine PLZ ohne Auslandshinweis. Sonst → weltweit (INT). + */ +// Auslandsländer als GANZE Wörter (\b) – sonst matchte „schweiz" in „Schweizer +// Straße", „usa" in „Neusass", „polen" in „Polenz" usw. und flaggte fälschlich Ausland. +const AUSLAND_RE = /\b(österreich|schweiz|austria|switzerland|frankreich|france|italien|italy|niederlande|netherlands|belgien|belgium|luxemburg|luxembourg|spanien|spain|portugal|usa|vereinigte staaten|united states|kanada|canada|england|großbritannien|grossbritannien|united kingdom|dänemark|denmark|schweden|sweden|norwegen|norway|finnland|finland|polen|poland|tschechien|czech|ungarn|hungary|griechenland|greece|irland|ireland|australien|australia|liechtenstein)\b/i; +// HTML-Escaping + Feld-Tabelle für vollständige Anfrage-Team-Mails. +const escH = (s) => String(s == null ? '' : s).replace(/[<>&]/g, (c) => ({ '<': '<', '>': '>', '&': '&' }[c])); +function felderHtml(pairs) { + const rows = pairs + .filter(([, v]) => v != null && String(v).trim()) + .map(([k, v]) => `Der Kunde hat den Motiv-Entwurf zu ${escHtml(o.order_number)} freigegeben – kann in den Druck.
` + : `Änderungswunsch zum Motiv-Entwurf ${escHtml(o.order_number)}:
${escHtml(note)}
`); + return res.json({ ok: true, status: neu }); + } catch (e) { + logger.error(`[skrift-orders] freigabe POST: ${e.message}`); + return res.status(500).json({ error: 'Konnte nicht gespeichert werden.' }); + } + }); + + /** Aktuelles Kontingent abfragen, ohne etwas zu verbrauchen. */ + router.get('/preview/quota', async (req, res) => { + try { + const kennung = norm(req.query.email) || String(req.query.client_id || '').slice(0, 64); + if (!kennung) return res.json({ remaining: PREVIEW_LIMIT, limit: PREVIEW_LIMIT }); + const schema = await getSchema(); + const heute = new Date().toISOString().slice(0, 10); + const row = (await new ItemsService('preview_usage', { schema, accountability: null }).readByQuery({ + filter: { key: { _eq: kennung }, day: { _eq: heute } }, limit: 1, fields: ['count'], + }))?.[0]; + return res.json({ remaining: Math.max(0, PREVIEW_LIMIT - (row?.count ?? 0)), limit: PREVIEW_LIMIT }); + } catch { + return res.json({ remaining: PREVIEW_LIMIT, limit: PREVIEW_LIMIT }); + } + }); + + // ── Auftragsdateien (Direktzugriff auf den Ausgabe-Ordner, keine Kopie) ──── + // Zugriff: App-Nutzer (Staff/Admin) ODER der Produktions-Agent (Rolle Service). + let _serviceRoleId; + async function serviceRoleId() { + if (_serviceRoleId !== undefined) return _serviceRoleId; + try { + const rows = await new ItemsService('directus_roles', { schema: await getSchema(), accountability: null }) + .readByQuery({ filter: { name: { _eq: 'Service' } }, limit: 1, fields: ['id'] }); + _serviceRoleId = rows?.[0]?.id ?? null; + } catch { _serviceRoleId = null; } + return _serviceRoleId; + } + async function darfDateien(req) { + const acc = req.accountability; + if (!acc || !acc.user) return false; + if (acc.admin || acc.app) return true; // Operator im Admin + const svc = await serviceRoleId(); + return !!(svc && acc.role === svc); // Produktions-Agent + } + const safeOrder = (s) => (/^[A-Za-z0-9_-]+$/.test(String(s || '')) ? String(s) : null); + + /** Listet die Dateien eines Auftrags aus dem gemounteten Ausgabe-Ordner. */ + function listeDateien(orderNummer) { + const basis = path.join(OUTPUT_DIR, orderNummer); + let root; + try { root = fs.readdirSync(basis); } catch { return null; } // Ordner (noch) nicht da + const out = []; + const add = (rel, kind) => { + try { + const st = fs.statSync(path.join(basis, rel)); + if (st.isFile()) out.push({ name: path.basename(rel), rel, kind, size: st.size }); + } catch { /* ignore */ } + }; + for (const f of root) { + if (/\.csv$/i.test(f)) add(f, 'platzhalter'); + else if (/\.svg$/i.test(f)) add(f, 'schriftstueck'); + } + try { + for (const f of fs.readdirSync(path.join(basis, 'umschlaege'))) { + if (/\.svg$/i.test(f)) add(path.join('umschlaege', f), 'umschlag'); + } + } catch { /* keine Umschläge */ } + return out; + } + + router.get('/files/:order', async (req, res) => { + if (!(await darfDateien(req))) return res.status(403).json({ error: 'Kein Zugriff.' }); + const nummer = safeOrder(req.params.order); + if (!nummer) return res.status(400).json({ error: 'Ungültige Auftragsnummer.' }); + const files = listeDateien(nummer); + if (files === null) return res.json({ files: [], exists: false }); + return res.json({ files, exists: true }); + }); + + // Zeichenreihenfolge „spaltenweise": permutiert NUR die Glyph-Neue Angebotsanfrage – im Board unter „Neu".
` + + felderHtml([ + ['Vorname', clean(vorname)], ['Nachname', clean(nachname)], + ['E-Mail', email], ['Telefon', clean(phone)], + ['Produkt', product ? clean(product) : ''], + ['Menge', Number.isFinite(quantity) && quantity > 0 ? quantity : ''], + ['Vorhaben', clean(message)], + ])); + + return res.json({ ok: true }); + } catch (err) { + logger.error(`[skrift-orders] offer-request: ${err.stack || err.message}`); + return res.status(500).json({ error: 'Anfrage konnte nicht gespeichert werden.' }); + } + }); + + // ── Musterbestellung (kostenlos) ───────────────────────────────────────── + router.post('/sample-request', async (req, res) => { + const body = req.body || {}; + // Diagnose: welche Feldnamen kommen rein + welche davon GEFÜLLT (Werte selbst + // NICHT loggen – Datenschutz). So sieht man, ob WP z. B. name/ort leer schickt. + try { + logger.info('[skrift-orders] sample-request Felder: ' + JSON.stringify(Object.keys(body)) + + ' | gefüllt: ' + JSON.stringify(Object.keys(body).filter((k) => String(body[k] ?? '').trim()))); + } catch { /* egal */ } + const email = norm(feldWert(body, 'email', 'e_mail', 'e-mail', 'mail')); + // Feld-Aliase (App + WordPress + gängige Varianten). App-Feldnamen haben Vorrang. + const first = feldWert(body, 'first_name', 'vorname', 'firstname', 'first', 'given_name'); + const last = feldWert(body, 'last_name', 'nachname', 'name', 'lastname', 'surname', 'familienname'); + const product = feldWert(body, 'product', 'produkt_interesse', 'produkt', 'produkt_interese'); + const phone = feldWert(body, 'phone', 'telefon', 'tel', 'telephone', 'telefonnummer'); + const street = feldWert(body, 'street', 'strasse', 'straße', 'adresse', 'address', 'strasse_hausnummer'); + const zip = feldWert(body, 'zip', 'zipcode', 'plz', 'postleitzahl', 'postal_code'); + const city = feldWert(body, 'city', 'ort', 'stadt', 'wohnort'); + const country = feldWert(body, 'country', 'land'); + const vollName = [first, last].filter(Boolean).join(' '); + const errors = []; + if (!product) errors.push('Produkt fehlt.'); + if (!vollName) errors.push('Name fehlt.'); + if (!isEmail(email)) errors.push('Gültige E-Mail-Adresse fehlt.'); + if (!street || !zip || !city) errors.push('Lieferadresse unvollständig.'); + if (errors.length) return res.status(400).json({ errors }); + + try { + const schema = await getSchema(); + const svc = (c) => new ItemsService(c, { schema, accountability: null }); + const { settings } = await loadPricingContext(schema); + const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); + + const customer = (await new UsersService({ schema, accountability: null }).readByQuery({ + filter: { email: { _eq: email } }, limit: 1, fields: ['id'], + }))?.[0]; + + await svc('offer_requests').createOne({ + type: 'muster', + name: clean(vollName), + email, + phone: clean(phone) || null, + product: clean(product), + message: clean(String(body.message || '').trim().slice(0, 1000)) || null, + address: { + first_name: clean(first), + last_name: clean(last), + street: clean(street), + zip: clean(zip), + city: clean(city), + country: clean(country), + }, + status: 'neu', + customer: customer?.id ?? null, + }); + + const musterNachricht = clean(String(body.message || '').trim().slice(0, 2000)); + await teamMail(schema, `Neue Musteranfrage: ${clean(vollName)}`, + `Neue Musteranfrage – im Board unter „Neu".
` + + felderHtml([ + ['Vorname', clean(first)], ['Nachname', clean(last)], + ['E-Mail', email], ['Telefon', clean(phone)], ['Produkt', clean(product)], + ['Straße', clean(street)], ['PLZ', clean(zip)], ['Ort', clean(city)], ['Land', clean(country)], + ['Nachricht', musterNachricht], + ])); + + return res.json({ ok: true }); + } catch (err) { + logger.error(`[skrift-orders] sample-request: ${err.stack || err.message}`); + return res.status(500).json({ error: 'Musterbestellung konnte nicht gespeichert werden.' }); + } + }); + + // ── Webhook: Anfragen direkt aus WordPress (JetFormBuilder) ──────────────── + // POST /skrift-orders/inbound/:kind (kind = 'muster' | 'anfrage') + // Öffentlich erreichbar, daher mit Shared-Secret gesichert (SKRIFT_WEBHOOK_TOKEN, + // per ?token= oder Header X-Webhook-Token). Feldnamen = JetFormBuilder-Felder. + // JetFormBuilder sendet meist application/x-www-form-urlencoded – das parst + // Directus für Custom-Endpunkte NICHT in req.body. Daher lesen wir den + // Rohbody hier selbst und interpretieren ihn als urlencoded oder JSON. + router.use('/inbound', (req, res, next) => { + if (req.method !== 'POST') return next(); + if (req.body && typeof req.body === 'object' && Object.keys(req.body).length) return next(); + let raw = ''; + req.setEncoding('utf8'); + req.on('data', (c) => { raw += c; if (raw.length > 1000000) req.destroy(); }); + req.on('end', () => { + const s = raw.trim(); + if (s) { + try { req.body = JSON.parse(s); } + catch { req.body = Object.fromEntries(new URLSearchParams(s)); } + } + next(); + }); + req.on('error', () => next()); + }); + + router.post('/inbound/:kind', async (req, res) => { + // Body ist durch die /inbound-Middleware bereits geparst (JSON/urlencoded). + let body = req.body || {}; + if (typeof body === 'string') { + try { body = JSON.parse(body); } + catch { body = Object.fromEntries(new URLSearchParams(body)); } + } + const kind = String(req.params.kind || '').toLowerCase(); + // Immer protokollieren, damit im Directus-Log sichtbar ist, was ankommt. + // „v2" + gefüllt=[…] zeigt, dass der neue Mapping-Code läuft und WELCHE Felder + // wirklich einen Wert haben (leere werden nicht gelistet). + const gefuellt = Object.keys(body).filter((k) => String(body[k] ?? '').trim()); + logger.info(`[skrift-orders] inbound/${kind} v2: content-type=${req.get('content-type') || '—'}, ` + + `felder=[${Object.keys(body).join(',')}], gefüllt=[${gefuellt.join(',')}], ` + + `token=${req.query.token ? 'query' : (req.get('x-webhook-token') ? 'header' : (body.token ? 'body' : 'keiner'))}`); + + const secret = process.env.SKRIFT_WEBHOOK_TOKEN || ''; + const provided = req.query.token || req.get('x-webhook-token') || body.token || ''; + if (!secret) { + logger.warn('[skrift-orders] inbound: SKRIFT_WEBHOOK_TOKEN ist nicht gesetzt – Webhook abgelehnt.'); + return res.status(401).json({ error: 'Webhook nicht konfiguriert (SKRIFT_WEBHOOK_TOKEN fehlt serverseitig).' }); + } + if (String(provided) !== secret) { + return res.status(401).json({ error: 'Ungültiger oder fehlender Webhook-Token.' }); + } + if (!['muster', 'anfrage'].includes(kind)) return res.status(404).json({ error: 'Unbekannter Hook (muster|anfrage).' }); + + // WP schickt Vor-/Nachname GETRENNT: vorname + name(=Nachname). Anzeigename = beides. + const vorname = feldWert(body, 'vorname', 'first_name', 'firstname'); + const nachname = feldWert(body, 'name', 'nachname', 'last_name', 'lastname'); + const name = [vorname, nachname].filter(Boolean).join(' '); + const email = norm(feldWert(body, 'email', 'e_mail', 'e-mail', 'mail')); + if (!name) return res.status(400).json({ error: 'Name fehlt.', felder: Object.keys(body) }); + if (!isEmail(email)) return res.status(400).json({ error: 'Gültige E-Mail-Adresse fehlt.', felder: Object.keys(body) }); + + try { + const schema = await getSchema(); + const svc = (c) => new ItemsService(c, { schema, accountability: null }); + const { settings } = await loadPricingContext(schema); + const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); + + const customer = (await new UsersService({ schema, accountability: null }).readByQuery({ + filter: { email: { _eq: email } }, limit: 1, fields: ['id'], + }))?.[0]; + + const phone = clean(feldWert(body, 'telefon', 'phone', 'tel', 'telefonnummer')) || null; + + let record; let subject; let mailHtml; + if (kind === 'muster') { + const produkt = feldWert(body, 'produkt_interesse', 'product', 'produkt'); + const strasse = feldWert(body, 'street', 'strasse', 'straße', 'adresse'); + const plz = feldWert(body, 'zipcode', 'zip', 'plz', 'postleitzahl'); + const ort = feldWert(body, 'ort', 'city', 'stadt', 'wohnort'); + const land = feldWert(body, 'country', 'land'); + record = { + type: 'muster', name: clean(name), email, phone, product: produkt ? clean(produkt) : null, message: null, + address: { + first_name: clean(vorname), + last_name: clean(nachname), + street: clean(strasse), + zip: clean(plz), + city: clean(ort), + country: clean(land), + }, + status: 'neu', customer: customer?.id ?? null, + }; + subject = `Neue Musteranfrage: ${name}`; + mailHtml = felderHtml([ + ['Vorname', clean(vorname)], ['Nachname', clean(nachname)], + ['E-Mail', email], ['Telefon', phone], ['Produkt', produkt ? clean(produkt) : ''], + ['Straße', clean(strasse)], ['PLZ', clean(plz)], ['Ort', clean(ort)], ['Land', clean(land)], + ]); + } else { + const unternehmen = clean(String(body.unternehmen || '').trim()); + const nachricht = clean(String(body.nachricht || body.message || '').trim()); + // offer_requests hat kein Firmenfeld → Unternehmen der Nachricht voranstellen. + const message = [unternehmen ? `Unternehmen: ${unternehmen}` : '', nachricht].filter(Boolean).join('\n\n') || null; + record = { + type: 'angebot', name: clean(name), email, phone, product: null, message, + status: 'neu', customer: customer?.id ?? null, + }; + subject = `Neue Angebotsanfrage: ${name}`; + mailHtml = felderHtml([ + ['Vorname', clean(vorname)], ['Nachname', clean(nachname)], ['Unternehmen', unternehmen], + ['E-Mail', email], ['Telefon', phone], ['Nachricht', nachricht], + ]); + } + + // „Gesamter Inhalt": alle übermittelten Felder (außer technische) mit anhängen, + // damit auch nicht standardisierte Formularfelder in der Mail landen. + const TECH = new Set(['token', 'dataprotection', '__form_id', '__refer', '__is_ajax', '__is_ajax_submit']); + const rest = Object.entries(body).filter(([k, v]) => !TECH.has(k.toLowerCase()) && String(v ?? '').trim()); + if (rest.length) mailHtml += `Alle übermittelten Felder:
` + felderHtml(rest.map(([k, v]) => [k, clean(String(v))])); + + await svc('offer_requests').createOne(record); + logger.info(`[skrift-orders] inbound/${kind}: Anfrage von ${email} gespeichert.`); + + // Schlanke interne Benachrichtigung (Kunden-Autoresponder macht JetFormBuilder). + await teamMail(schema, subject, mailHtml); + + return res.json({ ok: true }); + } catch (err) { + logger.error(`[skrift-orders] inbound/${kind}: ${err.stack || err.message}`); + return res.status(500).json({ error: 'Anfrage konnte nicht gespeichert werden.' }); + } + }); + + // ── Manueller Auftrag (Admin) ──────────────────────────────────────────── + // Legt intern einen Auftrag an (keine Zahlung, keine Datei-Eingabe), erzeugt + // die SVGs (Vorschau 1:1) und stellt ihn als „eingegangen" ins Board. Nutzt + // dieselben Bausteine wie die öffentliche Anlage – keine Doppellogik. + // Schriftstück(e) + Kuvert(e) eines/mehrerer Aufträge neu generieren (Operator). + router.post('/regenerate', async (req, res) => { + const acc = req.accountability; + if (!acc || !acc.user || !(acc.admin || acc.app)) return res.status(403).json({ error: 'Kein Zugriff.' }); + const body = req.body || {}; + const ids = Array.isArray(body.orders) ? body.orders : (body.order != null ? [body.order] : []); + if (!ids.length) return res.status(400).json({ error: 'Keine Auftrags-ID.' }); + try { + const schema = await getSchema(); + const svc = (c) => new ItemsService(c, { schema, accountability: null }); + let ok = 0; + for (const id of ids) { + // Vorschau-Session lösen → frisch rendern (nicht 1:1 aus der alten Vorschau kopieren). + try { await svc('orders').updateOne(id, { preview_session: null }); } catch { /* egal */ } + try { + const r = await fetch(`${BACKEND_URL}/api/order/from-directus`, { + method: 'POST', headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, + body: JSON.stringify({ orderId: id }), + }); + if (r.ok) ok += 1; + } catch (e) { logger.warn(`[skrift-orders] regenerate ${id}: ${e.message}`); } + } + return res.json({ ok: true, regeneriert: ok, gesamt: ids.length }); + } catch (err) { + logger.error(`[skrift-orders] regenerate: ${err.stack || err.message}`); + return res.status(500).json({ error: 'Neu-Generierung fehlgeschlagen.' }); + } + }); + + router.post('/manual-order', async (req, res) => { + const acc = req.accountability; + if (!acc || !acc.user || !(acc.admin || acc.app)) return res.status(403).json({ error: 'Kein Zugriff.' }); + const body = req.body || {}; + const entries = Array.isArray(body.entries) ? body.entries : []; + if (!body.product) return res.status(400).json({ error: 'Produkt fehlt.' }); + if (!entries.length) return res.status(400).json({ error: 'Mindestens eine Empfängerzeile erforderlich.' }); + try { + const schema = await getSchema(); + const svc = (c) => new ItemsService(c, { schema, accountability: null }); + const { settings } = await loadPricingContext(schema); + const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); + + const product = (await svc('products').readByQuery({ + filter: { key: { _eq: body.product } }, limit: 1, fields: ['id', 'key', 'name', 'type'], + }))?.[0]; + if (!product) return res.status(400).json({ error: 'Unbekanntes Produkt.' }); + + // Preis nur zur Aufzeichnung (kein Gate). + let quote = null; + try { quote = await calculatePrice(schema, { ...body, quantity: entries.length }); } catch { /* egal */ } + + // Kunde per E-Mail verknüpfen – existiert er noch nicht, automatisch anlegen. + let customerId = null, customerEmail = null; + if (body.customer_email && isEmail(norm(body.customer_email))) { + const kundeMail = norm(body.customer_email); + const users = new UsersService({ schema, accountability: null }); + const u = (await users.readByQuery({ filter: { email: { _eq: kundeMail } }, limit: 1, fields: ['id', 'email'] }))?.[0]; + if (u) { customerId = u.id; customerEmail = u.email; } + else { + try { + const role = (await new RolesService({ schema, accountability: null }).readByQuery({ + filter: { name: { _eq: 'Kunde' } }, limit: 1, fields: ['id'], + }))?.[0]; + customerId = await users.createOne({ email: kundeMail, password: zufallsPasswort(), role: role?.id ?? null, status: 'active' }); + customerEmail = kundeMail; + } catch (e) { logger.warn(`[skrift-orders] manual-order Kunde anlegen: ${e.message}`); customerEmail = kundeMail; } + } + } + + let formatId = null; + if (body.format) { + formatId = (await svc('formats').readByQuery({ filter: { key: { _eq: body.format } }, limit: 1, fields: ['id'] }))?.[0]?.id ?? null; + } + // Kuvertformat: explizite Angabe gewinnt; Datei-Produkte (Unterschriften) + // immer DIN Lang; A6/Postkarten → C6; sonst Standard DIN Lang. + const envelopeFormat = body.needs_envelope + ? (body.envelope_format + || (quote.product?.input_mode === 'datei' ? 'dinlang' + : (String(body.format || '').startsWith('a6') ? 'c6' : 'dinlang'))) + : null; + + const istInland = zielInland; + const countAusland = entries.filter((e) => !istInland(e)).length; + + const jt = new Date(); + const praefix = `${String(jt.getDate()).padStart(2, '0')}-${String(jt.getMonth() + 1).padStart(2, '0')}-${String(jt.getFullYear()).slice(2)}`; + const naechsteNummer = async () => { + const heutige = await svc('orders').readByQuery({ filter: { order_number: { _starts_with: `${praefix}-` } }, limit: -1, fields: ['id'] }); + return `${praefix}-${String((heutige?.length ?? 0) + 1).padStart(3, '0')}`; + }; + + const orderData = { + customer: customerId, customer_email: customerEmail, + product: product.id, format: formatId, + person_type: body.person_type === 'unternehmen' ? 'unternehmen' : 'privat', + font: ['tilda', 'alva', 'ellie'].includes(body.font) ? body.font : 'tilda', + realistic: body.realistic !== false, + // Relative Schriftgröße (getrennt Brief/Kuvert), 1 = Standard. + font_scale_letter: Math.max(0.8, Math.min(1.5, Number(body.font_scale_letter) || 1)), + font_scale_envelope: Math.max(0.8, Math.min(1.5, Number(body.font_scale_envelope) || 1)), + // Signatur(en) auf dem Brief (SVG je [[signaturN]]) + Feinjustierung, für die finale Generierung. + signatures_manual: (body.signatures && typeof body.signatures === 'object' && Object.keys(body.signatures).length) + ? { signatures: body.signatures, offsets: (body.signature_offsets && typeof body.signature_offsets === 'object') ? body.signature_offsets : {} } + : null, + // Mehrseitiges Schriftstück (Auto-Fluss). Seiten werden bei der Generierung erzeugt. + multi_page: body.multi_page === true, + source: 'operator', status: 'in_queue', production_status: 'eingegangen', + payment_status: 'bezahlt', payment_method: 'rechnung', + shipping_type: body.shipping_type === 'einzeln' ? 'einzeln' : 'sammel', + needs_envelope: !!body.needs_envelope, + envelope_labeling: body.envelope_labeling ?? null, + envelope_text: clean(body.envelope_text) ?? null, + envelope_format: envelopeFormat, + envelope_sender: clean(body.envelope_sender) ?? null, + envelope_sender_scale: Math.max(0.5, Math.min(2, Number(body.envelope_sender_scale) || 1)), + text_template: clean(body.text_template) ?? null, + preview_session: typeof body.preview_session === 'string' ? body.preview_session : null, + entries_count: entries.length, + count_inland: entries.length - countAusland, count_ausland: countAusland, + net_total: quote?.net_total ?? null, vat_amount: quote?.vat_amount ?? null, gross_total: quote?.gross_total ?? null, + price_lines: quote?.lines ?? null, + }; + + let orderId, orderNumber; + for (let v = 0; v < 6; v += 1) { + orderNumber = await naechsteNummer(); + try { orderId = await svc('orders').createOne({ order_number: orderNumber, ...orderData }); break; } + catch (e) { if (v === 5 || !/unique|duplicate|bereits|exists/i.test(String(e?.message || ''))) throw e; } + } + + const entriesSvc = svc('order_entries'); + let n = 0; + for (const e of entries) { + n += 1; + await entriesSvc.createOne({ + order: orderId, letter_number: n, + salutation: clean(e.salutation) ?? null, first_name: clean(e.first_name) ?? null, last_name: clean(e.last_name) ?? null, + street: clean(e.street) ?? null, house_no: clean(e.house_no) ?? null, zip: clean(e.zip) ?? null, + city: clean(e.city) ?? null, country: clean(e.country) ?? null, free_text: clean(e.free_text) ?? null, + placeholders: e.placeholders && typeof e.placeholders === 'object' + ? Object.fromEntries(Object.entries(e.placeholders).map(([k, v]) => [k, clean(String(v))])) : null, + }); + } + + await svc('status_history').createOne({ order: orderId, status: 'eingegangen', note: 'Manuell im Admin angelegt.' }); + + // Generierung IMMER anstoßen – für jedes Produkt. Das Backend entscheidet, + // was zu erzeugen ist (Schriftstücke bei Handschrift-Produkten, Kuverts immer + // wenn gewünscht; bei Datei-Produkten NUR die Kuverts). Nichts = No-Op. + fetch(`${BACKEND_URL}/api/order/from-directus`, { + method: 'POST', headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, + body: JSON.stringify({ orderId }), + }).catch((e) => logger.warn(`[skrift-orders] Manuell-Generierung nicht gestartet: ${e.message}`)); + + return res.json({ ok: true, order_number: orderNumber, id: orderId }); + } catch (err) { + logger.error(`[skrift-orders] manual-order: ${err.stack || err.message}`); + return res.status(400).json({ error: err.message }); + } + }); + + // ── Auftrag anlegen ────────────────────────────────────────────────────── + router.post('/', async (req, res) => { + const body = req.body || {}; + const errors = validate(body); + if (errors.length) return res.status(400).json({ errors }); + + try { + const schema = await getSchema(); + const svc = (c) => new ItemsService(c, { schema, accountability: null }); + const email = norm(body.email); + const entries = body.entries; + + const { settings } = await loadPricingContext(schema); + const clean = makeSanitizer(settings.char_whitelist || '\\x20-\\x7E'); + + const quote = await calculatePrice(schema, { ...body, quantity: entries.length, customerId: req.accountability?.user || null }); + + // Zahlungsart erzwingen, wenn über dem PayPal-Limit + let paymentMethod = body.payment_method === 'paypal' ? 'paypal' : 'rechnung'; + if (paymentMethod === 'paypal' && !quote.paypal_allowed) paymentMethod = 'rechnung'; + + // Kunde = Login-Konto (directus_users). Finden oder anlegen – per E-Mail. + const users = new UsersService({ schema, accountability: null }); + let customer = (await users.readByQuery({ + filter: { email: { _eq: email } }, limit: 1, fields: ['id', 'billing_address'], + }))?.[0]; + if (!customer) { + const rolesSvc = new RolesService({ schema, accountability: null }); + const role = (await rolesSvc.readByQuery({ + filter: { name: { _eq: 'Kunde' } }, limit: 1, fields: ['id'], + }))?.[0]; + const id = await users.createOne({ + email, + password: zufallsPasswort(), + role: role?.id ?? null, + status: 'active', + person_type: body.person_type === 'unternehmen' ? 'unternehmen' : 'privat', + first_name: clean(body.first_name) ?? null, + last_name: clean(body.last_name) ?? null, + company: clean(body.company) ?? null, + phone: clean(body.phone) ?? null, + }); + customer = { id, billing_address: null }; + } + + // Rechnungsadresse automatisch ins Konto übernehmen, wenn dort noch KEINE + // hinterlegt ist (bestehende Adresse wird nicht überschrieben). + try { + const b = body.billing && typeof body.billing === 'object' ? body.billing : null; + const hatAdresse = customer.billing_address + && (customer.billing_address.street || customer.billing_address.city); + if (b && (b.street || b.city) && !hatAdresse) { + await users.updateOne(customer.id, { + billing_address: { + street: clean(b.street) || '', zip: clean(b.zip) || '', + city: clean(b.city) || '', country: clean(b.country) || '', + }, + }); + } + } catch (e) { logger.warn(`[skrift-orders] Konto-Adresse nicht übernommen: ${e.message}`); } + + // Spezial-/Kontaktprodukte (z. B. Unterschriftenservice) sind nur + // bestellbar, wenn sie für dieses Konto freigeschaltet wurden. + if (quote.product.type === 'contact') { + const frei = await svc('customer_products').readByQuery({ + filter: { customer: { _eq: customer.id }, product: { _eq: quote.product.id } }, + limit: 1, fields: ['id'], + }); + if (!frei?.length) { + return res.status(403).json({ errors: ['Dieses Produkt ist für Ihr Konto nicht freigeschaltet.'] }); + } + } + + // Format auflösen (optional) + let formatId = null; + if (body.format) { + formatId = (await svc('formats').readByQuery({ + filter: { key: { _eq: body.format } }, limit: 1, fields: ['id'], + }))?.[0]?.id ?? null; + } + + // Umschlagformat automatisch: A6/Postkarte → C6, sonst Standard DIN Lang. + const envelopeFormat = body.needs_envelope + ? (String(body.format || '').startsWith('a6') ? 'c6' : 'dinlang') + : null; + + // Empfänger nach Inland/Ausland aufteilen (für die Auftragsübersicht). + const istInland = zielInland; + const countAusland = entries.filter((e) => !istInland(e)).length; + const countInland = entries.length - countAusland; + + // Fortlaufende Bestellnummer je Tag: dd-mm-yy-NNN (NNN ab 001). + const jt = new Date(); + const praefix = `${String(jt.getDate()).padStart(2, '0')}-${String(jt.getMonth() + 1).padStart(2, '0')}-${String(jt.getFullYear()).slice(2)}`; + const naechsteNummer = async () => { + const heutige = await svc('orders').readByQuery({ + filter: { order_number: { _starts_with: `${praefix}-` } }, limit: -1, fields: ['id'], + }); + return `${praefix}-${String((heutige?.length ?? 0) + 1).padStart(3, '0')}`; + }; + + // Anlegen mit Wiederholung, falls zwei Bestellungen gleichzeitig dieselbe + // Nummer träfen (order_number ist eindeutig). + const orderData = { + customer: customer.id, + customer_email: email, + product: quote.product.id, + // Gewähltes Kundenangebot (Aufschläge sind bereits im Preis) + Namens-Zusatz. + customer_offer: quote.offer?.id ?? null, + product_name_suffix: quote.offer?.name_suffix ?? null, + format: formatId, + person_type: body.person_type === 'unternehmen' ? 'unternehmen' : 'privat', + font: ['tilda', 'alva', 'ellie'].includes(body.font) ? body.font : 'tilda', + // Relative Schriftgröße (v.a. manuelle Aufträge), getrennt Brief/Kuvert. 1 = Standard. + font_scale_letter: Math.max(0.8, Math.min(1.5, Number(body.font_scale_letter) || 1)), + font_scale_envelope: Math.max(0.8, Math.min(1.5, Number(body.font_scale_envelope) || 1)), + source: ['operator', 'portal', 'extern'].includes(body.source) ? body.source : 'configurator', + // Extern (z. B. Etsy) wird über die Plattform bezahlt → nicht auf Zahlung warten. + status: body.source === 'extern' ? 'bezahlt' : 'wartet_auf_zahlung', + shipping_type: body.shipping_type === 'einzeln' ? 'einzeln' : 'sammel', + needs_envelope: !!body.needs_envelope, + envelope_labeling: body.envelope_labeling ?? null, + envelope_text: clean(body.envelope_text) ?? null, + envelope_format: envelopeFormat, + motif_mode: body.motif_mode ?? null, + motif: Number.isFinite(Number(body.motif)) && body.motif ? Number(body.motif) : null, + motif_upload: body.motif_upload || null, + source_file: body.source_file || null, + source_files: Array.isArray(body.source_files) && body.source_files.length + ? body.source_files + : (body.source_file ? [body.source_file] : null), + billing: body.billing && typeof body.billing === 'object' ? body.billing : null, + shipping_address: body.shipping_address && typeof body.shipping_address === 'object' ? body.shipping_address : null, + own_cards: body.motif_mode === 'eigene_karten', + text_template: clean(body.text_template) ?? null, + text_briefing: clean(body.text_briefing) ?? null, + preview_session: typeof body.preview_session === 'string' ? body.preview_session : null, + entries_count: entries.length, + count_inland: countInland, + count_ausland: countAusland, + net_total: quote.net_total, + vat_amount: quote.vat_amount, + gross_total: quote.gross_total, + price_lines: quote.lines ?? null, + voucher: quote.voucher?.id ?? null, + payment_method: paymentMethod, + payment_status: body.source === 'extern' ? 'bezahlt' : 'offen', + }; + + let orderId, orderNumber; + for (let versuch = 0; versuch < 6; versuch += 1) { + orderNumber = await naechsteNummer(); + try { + orderId = await svc('orders').createOne({ order_number: orderNumber, ...orderData }); + break; + } catch (e) { + const dup = /unique|duplicate|bereits|exists/i.test(String(e?.message || '')); + if (versuch === 5 || !dup) throw e; + } + } + + // Empfängerzeilen – Briefnummer wird IMMER vom System vergeben + const entriesSvc = svc('order_entries'); + let n = 0; + for (const e of entries) { + n += 1; + await entriesSvc.createOne({ + order: orderId, + letter_number: n, + salutation: clean(e.salutation) ?? null, + first_name: clean(e.first_name) ?? null, + last_name: clean(e.last_name) ?? null, + street: clean(e.street) ?? null, + house_no: clean(e.house_no) ?? null, + zip: clean(e.zip) ?? null, + city: clean(e.city) ?? null, + country: clean(e.country) ?? null, + free_text: clean(e.free_text) ?? null, + placeholders: e.placeholders && typeof e.placeholders === 'object' + ? Object.fromEntries(Object.entries(e.placeholders).map(([k, v]) => [k, clean(String(v))])) + : null, + // Abweichender Text nur für dieses Schriftstück (#5). + text: (e.text && String(e.text).trim()) ? clean(String(e.text)) : null, + }); + } + + // Zusatzleistungen verknüpfen + if (Array.isArray(body.addons) && body.addons.length) { + const items = await svc('price_items').readByQuery({ + filter: { key: { _in: body.addons }, category: { _eq: 'zusatzleistung' } }, + limit: -1, fields: ['id'], + }); + for (const it of items || []) await svc('order_addons').createOne({ order: orderId, price_item: it.id }); + } + + // Gutschein-Einlösung protokollieren + if (quote.voucher) { + await svc('voucher_redemptions').createOne({ voucher: quote.voucher.id, order: orderId }); + await svc('vouchers').updateOne(quote.voucher.id, { used_count: (quote.voucher.used_count ?? 0) + 1 }); + } + + await svc('status_history').createOne({ + order: orderId, status: 'wartet_auf_zahlung', note: 'Auftrag über den Konfigurator angelegt.', + }); + + // Motiv-Upload (Postkarte) → A6-Entwurf erzeugen + Kundenfreigabe anfordern. + let freigabeToken = null; + const istMotivUpload = body.motif_mode === 'upload' && (body.motif_upload || body.source_file); + if (istMotivUpload) { + freigabeToken = crypto.randomBytes(24).toString('base64url'); + try { await svc('orders').updateOne(orderId, { approval_status: 'pending', approval_token: freigabeToken }); } + catch (e) { logger.warn(`[skrift-orders] Freigabe-Setup: ${e.message}`); } + // A6-Layout asynchron erzeugen – blockiert die Antwort an den Kunden nicht. + erzeugeMotivEntwurf(schema, orderId, body.motif_upload || body.source_file) + .catch((e) => logger.warn(`[skrift-orders] Motiv-Entwurf ${orderNumber}: ${e.message}`)); + } + + // Separate, im Admin editierbare Kunden-Mail für Sonderfälle. + const kundeEmail = norm(body.email); + if (isEmail(kundeEmail)) { + let portal = (process.env.CORS_ORIGIN || 'https://app.skrift.de').split(',')[0].trim(); + try { const es = await svc('email_settings').readSingleton({ fields: ['portal_url'] }); if (es?.portal_url) portal = String(es.portal_url).trim(); } catch { /* Default */ } + const vars = { + order_number: orderNumber, name: [body.first_name, body.last_name].filter(Boolean).join(' '), + freigabe_link: freigabeToken ? `${portal.replace(/\/$/, '')}/freigabe/${freigabeToken}` : '', + }; + if (istMotivUpload) sendeVorlage(schema, 'motiv_freigabe', kundeEmail, vars); + else if (quote.product?.input_mode === 'datei') sendeVorlage(schema, 'unterschriften_eingang', kundeEmail, vars); + else if (body.source === 'extern') sendeVorlage(schema, 'extern_eingang', kundeEmail, vars); + } + + // SVGs automatisch erzeugen, sobald der Kunde den Auftrag abschließt – IMMER + // und für jedes Produkt (das Backend entscheidet, was zu erzeugen ist: + // Schriftstücke bei Handschrift-Produkten, Kuverts immer wenn gewünscht; + // bei Datei-Produkten NUR die Kuverts, nicht das hochgeladene Dokument). + // Feuern & vergessen – blockiert die Antwort an den Kunden nicht. + fetch(`${BACKEND_URL}/api/order/from-directus`, { + method: 'POST', + headers: { 'Content-Type': 'application/json', 'X-API-Token': BACKEND_TOKEN }, + body: JSON.stringify({ orderId }), + }).catch((e) => logger.warn(`[skrift-orders] Auto-Generierung nicht gestartet: ${e.message}`)); + + return res.json({ + order_number: orderNumber, + net_total: quote.net_total, vat_amount: quote.vat_amount, gross_total: quote.gross_total, + payment_method: paymentMethod, paypal_allowed: quote.paypal_allowed, + }); + } catch (err) { + logger.error(`[skrift-orders] ${err.stack || err.message}`); + return res.status(400).json({ error: err.message }); + } + }); +}; + +export default { id: 'skrift-orders', handler }; diff --git a/extensions/directus-extension-skrift-produktion/dist/index.js b/extensions/directus-extension-skrift-produktion/dist/index.js index 175f65d..b411adc 100644 --- a/extensions/directus-extension-skrift-produktion/dist/index.js +++ b/extensions/directus-extension-skrift-produktion/dist/index.js @@ -194,7 +194,7 @@ const Board = defineComponent({ const musterListe = ref([]); // ── Modale ── - const druck = reactive({ open: false, order: null, machine: null, mode: 'queue', busy: false, brief: null, umschlag: null, msg: '', err: '', deNums: '', intNums: '', deN: 0, intN: 0 }); + const druck = reactive({ open: false, order: null, machine: null, mode: 'queue', busy: false, brief: null, umschlag: null, spaltenweise: false, msg: '', err: '', deNums: '', intNums: '', deN: 0, intN: 0 }); const manuell = reactive({ open: false, req: null, form: 'sie', vorlageId: '', roh: '', font: 'tilda', format: 'a4', template: null, machine: null, mode: 'queue', text: '', // Adresse automatisch aufs Kuvert (Standard an) + eigenes Kuvert-Template/-Format. kuvert: true, envFormat: 'dinlang', envTemplate: null, msg: '', err: '' }); @@ -756,6 +756,8 @@ const Board = defineComponent({ druck.order = order; druck.machine = aktiveMaschinen.value[0]?.id ?? null; druck.mode = 'queue'; druck.msg = ''; druck.err = ''; + // Rollenschonende Zeichenreihenfolge nur bei A6 anbieten (Default aus). + druck.spaltenweise = false; druck.brief = { enabled: true, numbers: `1-${n}`, done: !!order.brief_gedruckt, ...tplToFelder(bt) }; druck.umschlag = wantsEnv ? { enabled: true, numbers: `1-${n}`, done: !!order.kuvert_gedruckt, ...tplToFelder(et) } : null; druck.deNums = ''; druck.intNums = ''; druck.deN = 0; druck.intN = 0; @@ -789,7 +791,7 @@ const Board = defineComponent({ const sections = {}; const bau = (sec) => ({ enabled: true, template: sec.tplId, numbers: sec.numbers || '', params: { width: sec.width, height: sec.height, xpos: sec.xpos, ypos: sec.ypos, scale: sec.scale, rotation: sec.rotation } }); - if (druck.brief?.enabled) sections.brief = bau(druck.brief); + if (druck.brief?.enabled) sections.brief = { ...bau(druck.brief), spaltenweise: !!druck.spaltenweise }; if (druck.umschlag?.enabled) sections.umschlag = bau(druck.umschlag); if (!Object.keys(sections).length) { druck.err = 'Kein Abschnitt gewählt.'; return; } druck.err = ''; druck.msg = 'Wird eingereiht …'; @@ -1478,6 +1480,14 @@ const Board = defineComponent({ ]), druckSektion('brief', 'Briefe', '📄', 'brief'), druckSektion('umschlag', 'Kuverts', '✉', 'umschlag'), + // Rollenschonende Zeichenreihenfolge – nur bei A6 sinnvoll (Karte quer). + String(druck.order.format?.key || '').startsWith('a6') ? h('div', { style: SECTION + 'margin-bottom:12px;' }, [ + h('label', { style: 'display:flex;align-items:center;gap:10px;font-size:14px;cursor:pointer;' }, [ + h('input', { type: 'checkbox', checked: druck.spaltenweise, onChange: (e) => { druck.spaltenweise = e.target.checked; }, style: 'width:18px;height:18px;' }), + h('span', { style: 'font-weight:600;' }, 'Rollenschonend drucken (spaltenweise)'), + ]), + subdued('Für A6 quer: Zeichen werden spaltenweise (kurze Seite, oben→unten) gedruckt, damit die Rolle nicht je Zeile zurückfährt. Das sichtbare Ergebnis auf der Karte bleibt gleich – nur die Schriftstücke (nicht die Kuverts).', 'margin-top:6px;'), + ]) : null, h('div', { style: 'margin:12px 0 4px;' }, [ segToggle(busy ? 'queue' : druck.mode, [ { key: 'direct', label: '⚡ Direktdruck', disabled: busy },