Externe Datei-Links + Power-User-Rolle + PAROL6-Demo

Block A — Externe Links:
  - projekt_datei.extern_url: eine "Datei" kann Upload (BLOB) ODER Link sein
  - Link-Route /cockpit/projekt/<id>/link, Werkstatt-UI mit Link-Feld
  - Katalog + Detail rendern Links als "Oeffnen ↗", Uploads als Download
  - Upload-Limit 30 -> 60 MB (grosse Bambu-3MF); darueber: externer Link

Block B — Power-User-Rolle:
  - profil.rolle ('schueler'|'power'); Login setzt Session-Rolle
  - Decorator power_oder_admin; ist_power-Helper
  - Login-Kacheln: Power mit 🔧 statt Tier; Admin-Profilanlage mit Rollen-Dropdown
    (Tier nur bei schueler Pflicht, Power kriegt Platzhalter-Slug 'power')
  - Cockpit: kein Check-In fuer Power, stattdessen "Power-Werkzeuge"-Karte
  - Power-Projekt-Regeln: mehrere parallel erlaubt, Abschluss direkt 'freigegeben'
  - Rechte power_oder_admin: Drucker-Verwaltung, Software-Katalog,
    Slot-fuer-SuS, inline-edit (beschraenkt auf drucker+software_seite)
  - Bleibt admin-only: SuS-Profile, Projekt-Freigaben, Admin-Dashboard
  - Power-relevante Admin-Templates: Zurueck-Link rollenabhaengig (Cockpit statt Dashboard)

Block C — PAROL6-Demo:
  - scripts/seed_demo_parol6.py: Power-Profil 'Herb' + PAROL6-Roboterarm-Projekt
  - GitHub-Repo als Link, Bauanleitung-PDF als BLOB, Cover aus 3MF-Render
  - abgeschlossen+freigegeben -> im Katalog, als Vorlage waehlbar

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

routes/admin.py

@@ -11,7 +11,7 @@ import secrets
 from flask import Blueprint, render_template, request, redirect, url_for, session, flash, jsonify, abort
 
 from database import get_db
-from services.auth import pin_hashen, admin_passwort_pruefen, admin_required
+from services.auth import pin_hashen, admin_passwort_pruefen, admin_required, power_oder_admin
 from tiere import TIERE, tier_emoji, tier_name
 
 bp = Blueprint("admin", __name__, url_prefix="/admin")
@@ -69,10 +69,10 @@ def profile_liste():
     conn = get_db()
     profile = conn.execute(
         "SELECT p.id, p.vorname, p.tier, p.aktiv, p.erstellt_am, "
-        "       p.ag_id, p.reservieren_freigeschaltet, ag.name AS ag_name "
+        "       p.ag_id, p.reservieren_freigeschaltet, p.rolle, ag.name AS ag_name "
         "FROM profil p "
         "LEFT JOIN ag_mitgliedschaft ag ON p.ag_id = ag.id "
-        "ORDER BY p.aktiv DESC, p.vorname COLLATE NOCASE"
+        "ORDER BY p.aktiv DESC, p.rolle DESC, p.vorname COLLATE NOCASE"
     ).fetchall()
     ags = conn.execute("SELECT id, name FROM ag_mitgliedschaft WHERE status = 'aktiv'").fetchall()
     conn.close()
@@ -91,9 +91,17 @@ def profil_neu():
     vorname = (request.form.get("vorname") or "").strip()
     tier = (request.form.get("tier") or "").strip()
     ag_id = (request.form.get("ag_id") or "").strip()
+    rolle = (request.form.get("rolle") or "schueler").strip()
+    if rolle not in ("schueler", "power"):
+        rolle = "schueler"
+
+    # Power-User brauchen kein Tier (Login zeigt 🔧). Platzhalter-Slug,
+    # damit der NOT-NULL- + UNIQUE-Constraint erfuellt ist.
+    if rolle == "power" and not tier:
+        tier = "power"
 
     if not (vorname and tier and ag_id):
-        flash("Bitte Vorname, Tier und AG angeben.", "error")
+        flash("Bitte Vorname, Tier (bei SuS) und AG angeben.", "error")
         return redirect(url_for("admin.profile_liste"))
 
     # PIN generieren: 4-stellig, mit fuehrenden Nullen
@@ -103,9 +111,9 @@ def profil_neu():
     conn = get_db()
     try:
         cur = conn.execute(
-            "INSERT INTO profil (vorname, tier, pin_hash, ag_id, aktiv) "
-            "VALUES (?, ?, ?, ?, 1)",
-            (vorname, tier, pin_hash, ag_id)
+            "INSERT INTO profil (vorname, tier, pin_hash, ag_id, aktiv, rolle) "
+            "VALUES (?, ?, ?, ?, 1, ?)",
+            (vorname, tier, pin_hash, ag_id, rolle)
         )
         conn.commit()
         neue_id = cur.lastrowid
@@ -195,8 +203,13 @@ def profil_pin_reset(profil_id):
 # Inline-Edit (Etappe 1)
 # ===========================================================================
 
+# Tabellen, die Power-User (ohne Admin-Session) inline editieren duerfen.
+# Lektion + Einstellung bleiben Lehrer-Sache.
+POWER_INLINE_TABELLEN = {"drucker", "software_seite"}
+
+
 @bp.route("/inline-edit", methods=["POST"])
-@admin_required
+@power_oder_admin
 def inline_edit():
     """Universal-Endpunkt fuer Inline-Edit. Prueft Whitelist + loggt Aenderung."""
     tabelle = (request.form.get("tabelle") or "").strip()
@@ -207,6 +220,9 @@ def inline_edit():
     # Whitelist-Pruefung
     if tabelle not in ERLAUBTE_INLINE_TABELLEN:
         return jsonify(ok=False, error=f"Tabelle '{tabelle}' nicht erlaubt"), 400
+    # Power-User (nicht Admin) duerfen nur Drucker + Software inline editieren
+    if not session.get("admin") and tabelle not in POWER_INLINE_TABELLEN:
+        return jsonify(ok=False, error="Dafuer fehlen dir die Rechte"), 403
     if feld not in ERLAUBTE_INLINE_TABELLEN[tabelle]:
         return jsonify(ok=False, error=f"Feld '{feld}' nicht erlaubt"), 400
     try:
@@ -263,7 +279,7 @@ def profile_karten():
 # ===========================================================================
 
 @bp.route("/slots")
-@admin_required
+@power_oder_admin
 def slot_uebersicht():
     """Uebersicht aller bevorstehenden + heute aktiven Slots."""
     from datetime import datetime, timedelta
@@ -287,7 +303,7 @@ def slot_uebersicht():
 
 
 @bp.route("/slot/neu", methods=["GET", "POST"])
-@admin_required
+@power_oder_admin
 def slot_neu_lehrer():
     """Lehrer reserviert im Namen eines SuS — ignoriert das Freischalt-Flag."""
     from datetime import datetime, timedelta
@@ -389,7 +405,7 @@ def slot_neu_lehrer():
 
 
 @bp.route("/slot/<int:slot_id>/loeschen", methods=["POST"])
-@admin_required
+@power_oder_admin
 def slot_loeschen(slot_id):
     """Slot hart loeschen (Lehrer-Override). Ein 'stornieren'-Status haetten
     wir auch, aber Lehrer-Aufraeumarbeiten sind oft endgueltig.
@@ -467,7 +483,7 @@ def _software_clean_form(form):
 
 
 @bp.route("/software")
-@admin_required
+@power_oder_admin
 def software_liste():
     """Verwaltung der Software-Karten — Liste + Anlegen-Formular auf einer Seite."""
     conn = get_db()
@@ -481,7 +497,7 @@ def software_liste():
 
 
 @bp.route("/software/neu", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_neu():
     try:
         daten = _software_clean_form(request.form)
@@ -516,7 +532,7 @@ def software_neu():
 
 
 @bp.route("/software/<int:karte_id>/bearbeiten", methods=["GET", "POST"])
-@admin_required
+@power_oder_admin
 def software_bearbeiten(karte_id):
     """Bearbeiten-Seite fuer eine Software-Karte. Gleiches Form-Layout wie /neu,
     aber alle Felder vorbefuellt. Slug kann hier NICHT geaendert werden (waere
@@ -571,7 +587,7 @@ def software_bearbeiten(karte_id):
 
 
 @bp.route("/software/<int:karte_id>/aktiv", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_aktiv_toggle(karte_id):
     conn = get_db()
     conn.execute(
@@ -584,7 +600,7 @@ def software_aktiv_toggle(karte_id):
 
 
 @bp.route("/software/<int:karte_id>/loeschen", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_loeschen(karte_id):
     """Hart loeschen — wir haben keine FK-Beziehungen zu Software-Karten, das ist sicher."""
     conn = get_db()
@@ -745,7 +761,7 @@ def projekt_admin_loeschen(projekt_id):
 # ===========================================================================
 
 @bp.route("/software/<int:karte_id>/bild", methods=["GET", "POST"])
-@admin_required
+@power_oder_admin
 def software_bild(karte_id):
     """Bild fuer eine Software-Karte hochladen (Paste + Crop, base64 ueber JSON).
 
@@ -795,7 +811,7 @@ def software_bild(karte_id):
 
 
 @bp.route("/software/<int:karte_id>/bild/loeschen", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_bild_loeschen(karte_id):
     conn = get_db()
     conn.execute(
@@ -867,9 +883,12 @@ def admin_lektionen():
 
 
 @bp.route("/drucker")
-@admin_required
+@power_oder_admin
 def admin_drucker():
-    """Drucker-Verwaltung: Status setzen, Freigabe-Toggle, Links pflegen."""
+    """Drucker-Verwaltung: Status setzen, Freigabe-Toggle, Links pflegen.
+
+    Power-User (fortgeschrittene SuS / Herb) duerfen das mitverwalten.
+    """
     from services.drucker_links import drucker_links
     conn = get_db()
     rows = conn.execute(
@@ -901,7 +920,7 @@ DRUCKER_STATUS_OPTIONEN = (
 
 
 @bp.route("/drucker/<int:drucker_id>/status", methods=["POST"])
-@admin_required
+@power_oder_admin
 def drucker_status_setzen(drucker_id):
     """Lehrer setzt den Status eines Druckers manuell."""
     from datetime import datetime
@@ -940,7 +959,7 @@ def drucker_status_setzen(drucker_id):
 
 
 @bp.route("/drucker/<int:drucker_id>/freigabe", methods=["POST"])
-@admin_required
+@power_oder_admin
 def drucker_freigabe_toggle(drucker_id):
     """Drucker fuer Reservierung freigeben oder sperren (mit optionalem Grund)."""
     neuer_wert = 1 if request.form.get("freigeben") == "1" else 0

routes/profil.py

@@ -39,8 +39,8 @@ bp = Blueprint("profil", __name__)
 def login():
     conn = get_db()
     profile = conn.execute(
-        "SELECT id, vorname, tier FROM profil WHERE aktiv = 1 "
-        "ORDER BY vorname COLLATE NOCASE, tier"
+        "SELECT id, vorname, tier, rolle FROM profil WHERE aktiv = 1 "
+        "ORDER BY rolle DESC, vorname COLLATE NOCASE, tier"
     ).fetchall()
     conn.close()
     return render_template("login.html", profile=profile)
@@ -50,7 +50,7 @@ def login():
 def login_pin(profil_id):
     conn = get_db()
     profil = conn.execute(
-        "SELECT id, vorname, tier, pin_hash, aktiv FROM profil WHERE id = ?",
+        "SELECT id, vorname, tier, pin_hash, aktiv, rolle FROM profil WHERE id = ?",
         (profil_id,)
     ).fetchone()
     conn.close()
@@ -77,6 +77,7 @@ def login_pin(profil_id):
             session["profil_id"] = profil["id"]
             session["vorname"] = profil["vorname"]
             session["tier"] = profil["tier"]
+            session["rolle"] = profil["rolle"] or "schueler"
             return redirect(url_for("profil.cockpit"))
         else:
             fehlversuch_loggen(profil_id)
@@ -681,8 +682,9 @@ def projekt_werkstatt_speichern(projekt_id):
     return redirect(url_for("profil.projekt_detail", projekt_id=projekt_id))
 
 
-# Max-Upload-Groesse (30 MB) — Bambu-3MF-Files sind selten groesser
-MAX_UPLOAD_BYTES = 30 * 1024 * 1024
+# Max-Upload-Groesse (60 MB) — Bambu-3MF mit mehreren Platten + Thumbnails
+# werden schnell gross. Wer noch groesser braucht, nutzt einen externen Link.
+MAX_UPLOAD_BYTES = 60 * 1024 * 1024
 
 # Mapping Mime -> art (siehe Schema: art TEXT 'cover_foto'|'stl'|'3mf'|'foto'|'sonstiges')
 def _datei_art_aus_dateiname(dateiname: str, mime: str) -> str:
@@ -741,6 +743,41 @@ def projekt_datei_upload(projekt_id):
     return jsonify(ok=True, id=neue_id, art=art, groesse=len(blob))
 
 
+@bp.route("/cockpit/projekt/<int:projekt_id>/link", methods=["POST"])
+@login_required
+def projekt_link_hinzufuegen(projekt_id):
+    """Externen Link als 'Datei' hinzufuegen (GitHub, MakerWorld, gehostete 3MF, ...)."""
+    p = _eigenes_projekt_holen(projekt_id)
+    if not p:
+        flash("Projekt nicht gefunden.", "error")
+        return redirect(url_for("profil.cockpit"))
+    if p["status_lebenszyklus"] != "in_arbeit":
+        flash("Abgeschlossene Projekte koennen keine Links mehr aufnehmen.", "error")
+        return redirect(url_for("profil.projekt_detail", projekt_id=projekt_id))
+
+    name = (request.form.get("dateiname") or "").strip()
+    url = (request.form.get("extern_url") or "").strip()
+    if not url:
+        flash("Bitte eine URL angeben.", "error")
+        return redirect(url_for("profil.projekt_detail", projekt_id=projekt_id))
+    if not (url.startswith("http://") or url.startswith("https://")):
+        flash("Der Link muss mit http:// oder https:// beginnen.", "error")
+        return redirect(url_for("profil.projekt_detail", projekt_id=projekt_id))
+    if not name:
+        name = url  # Fallback: URL als Anzeigename
+
+    conn = get_db()
+    conn.execute(
+        "INSERT INTO projekt_datei (projekt_id, dateiname, extern_url, art, hochgeladen_von) "
+        "VALUES (?, ?, ?, 'link', ?)",
+        (projekt_id, name, url, session["profil_id"])
+    )
+    conn.commit()
+    conn.close()
+    flash("Link hinzugefuegt.", "success")
+    return redirect(url_for("profil.projekt_detail", projekt_id=projekt_id))
+
+
 @bp.route("/cockpit/projekt/<int:projekt_id>/datei/<int:datei_id>/loeschen", methods=["POST"])
 @login_required
 def projekt_datei_loeschen(projekt_id, datei_id):
@@ -845,7 +882,11 @@ def projekt_abschluss(projekt_id):
         if ausfuehrung and ausfuehrung not in EVAL_QUALITAET:
             ausfuehrung = None
 
-        neuer_freigabe_status = freigabe_nach_eval(gesamt)
+        # Power-User-Projekte (Demos) gehen direkt in den Katalog, kein Lehrer-Review.
+        if session.get("rolle") == "power":
+            neuer_freigabe_status = "freigegeben"
+        else:
+            neuer_freigabe_status = freigabe_nach_eval(gesamt)
 
         conn = get_db()
         conn.execute(