Externe Datei-Links + Power-User-Rolle + PAROL6-Demo

Block A — Externe Links:
  - projekt_datei.extern_url: eine "Datei" kann Upload (BLOB) ODER Link sein
  - Link-Route /cockpit/projekt/<id>/link, Werkstatt-UI mit Link-Feld
  - Katalog + Detail rendern Links als "Oeffnen ↗", Uploads als Download
  - Upload-Limit 30 -> 60 MB (grosse Bambu-3MF); darueber: externer Link

Block B — Power-User-Rolle:
  - profil.rolle ('schueler'|'power'); Login setzt Session-Rolle
  - Decorator power_oder_admin; ist_power-Helper
  - Login-Kacheln: Power mit 🔧 statt Tier; Admin-Profilanlage mit Rollen-Dropdown
    (Tier nur bei schueler Pflicht, Power kriegt Platzhalter-Slug 'power')
  - Cockpit: kein Check-In fuer Power, stattdessen "Power-Werkzeuge"-Karte
  - Power-Projekt-Regeln: mehrere parallel erlaubt, Abschluss direkt 'freigegeben'
  - Rechte power_oder_admin: Drucker-Verwaltung, Software-Katalog,
    Slot-fuer-SuS, inline-edit (beschraenkt auf drucker+software_seite)
  - Bleibt admin-only: SuS-Profile, Projekt-Freigaben, Admin-Dashboard
  - Power-relevante Admin-Templates: Zurueck-Link rollenabhaengig (Cockpit statt Dashboard)

Block C — PAROL6-Demo:
  - scripts/seed_demo_parol6.py: Power-Profil 'Herb' + PAROL6-Roboterarm-Projekt
  - GitHub-Repo als Link, Bauanleitung-PDF als BLOB, Cover aus 3MF-Render
  - abgeschlossen+freigegeben -> im Katalog, als Vorlage waehlbar

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

routes/admin.py

@@ -11,7 +11,7 @@ import secrets
 from flask import Blueprint, render_template, request, redirect, url_for, session, flash, jsonify, abort
 
 from database import get_db
-from services.auth import pin_hashen, admin_passwort_pruefen, admin_required
+from services.auth import pin_hashen, admin_passwort_pruefen, admin_required, power_oder_admin
 from tiere import TIERE, tier_emoji, tier_name
 
 bp = Blueprint("admin", __name__, url_prefix="/admin")
@@ -69,10 +69,10 @@ def profile_liste():
     conn = get_db()
     profile = conn.execute(
         "SELECT p.id, p.vorname, p.tier, p.aktiv, p.erstellt_am, "
-        "       p.ag_id, p.reservieren_freigeschaltet, ag.name AS ag_name "
+        "       p.ag_id, p.reservieren_freigeschaltet, p.rolle, ag.name AS ag_name "
         "FROM profil p "
         "LEFT JOIN ag_mitgliedschaft ag ON p.ag_id = ag.id "
-        "ORDER BY p.aktiv DESC, p.vorname COLLATE NOCASE"
+        "ORDER BY p.aktiv DESC, p.rolle DESC, p.vorname COLLATE NOCASE"
     ).fetchall()
     ags = conn.execute("SELECT id, name FROM ag_mitgliedschaft WHERE status = 'aktiv'").fetchall()
     conn.close()
@@ -91,9 +91,17 @@ def profil_neu():
     vorname = (request.form.get("vorname") or "").strip()
     tier = (request.form.get("tier") or "").strip()
     ag_id = (request.form.get("ag_id") or "").strip()
+    rolle = (request.form.get("rolle") or "schueler").strip()
+    if rolle not in ("schueler", "power"):
+        rolle = "schueler"
+
+    # Power-User brauchen kein Tier (Login zeigt 🔧). Platzhalter-Slug,
+    # damit der NOT-NULL- + UNIQUE-Constraint erfuellt ist.
+    if rolle == "power" and not tier:
+        tier = "power"
 
     if not (vorname and tier and ag_id):
-        flash("Bitte Vorname, Tier und AG angeben.", "error")
+        flash("Bitte Vorname, Tier (bei SuS) und AG angeben.", "error")
         return redirect(url_for("admin.profile_liste"))
 
     # PIN generieren: 4-stellig, mit fuehrenden Nullen
@@ -103,9 +111,9 @@ def profil_neu():
     conn = get_db()
     try:
         cur = conn.execute(
-            "INSERT INTO profil (vorname, tier, pin_hash, ag_id, aktiv) "
-            "VALUES (?, ?, ?, ?, 1)",
-            (vorname, tier, pin_hash, ag_id)
+            "INSERT INTO profil (vorname, tier, pin_hash, ag_id, aktiv, rolle) "
+            "VALUES (?, ?, ?, ?, 1, ?)",
+            (vorname, tier, pin_hash, ag_id, rolle)
         )
         conn.commit()
         neue_id = cur.lastrowid
@@ -195,8 +203,13 @@ def profil_pin_reset(profil_id):
 # Inline-Edit (Etappe 1)
 # ===========================================================================
 
+# Tabellen, die Power-User (ohne Admin-Session) inline editieren duerfen.
+# Lektion + Einstellung bleiben Lehrer-Sache.
+POWER_INLINE_TABELLEN = {"drucker", "software_seite"}
+
+
 @bp.route("/inline-edit", methods=["POST"])
-@admin_required
+@power_oder_admin
 def inline_edit():
     """Universal-Endpunkt fuer Inline-Edit. Prueft Whitelist + loggt Aenderung."""
     tabelle = (request.form.get("tabelle") or "").strip()
@@ -207,6 +220,9 @@ def inline_edit():
     # Whitelist-Pruefung
     if tabelle not in ERLAUBTE_INLINE_TABELLEN:
         return jsonify(ok=False, error=f"Tabelle '{tabelle}' nicht erlaubt"), 400
+    # Power-User (nicht Admin) duerfen nur Drucker + Software inline editieren
+    if not session.get("admin") and tabelle not in POWER_INLINE_TABELLEN:
+        return jsonify(ok=False, error="Dafuer fehlen dir die Rechte"), 403
     if feld not in ERLAUBTE_INLINE_TABELLEN[tabelle]:
         return jsonify(ok=False, error=f"Feld '{feld}' nicht erlaubt"), 400
     try:
@@ -263,7 +279,7 @@ def profile_karten():
 # ===========================================================================
 
 @bp.route("/slots")
-@admin_required
+@power_oder_admin
 def slot_uebersicht():
     """Uebersicht aller bevorstehenden + heute aktiven Slots."""
     from datetime import datetime, timedelta
@@ -287,7 +303,7 @@ def slot_uebersicht():
 
 
 @bp.route("/slot/neu", methods=["GET", "POST"])
-@admin_required
+@power_oder_admin
 def slot_neu_lehrer():
     """Lehrer reserviert im Namen eines SuS — ignoriert das Freischalt-Flag."""
     from datetime import datetime, timedelta
@@ -389,7 +405,7 @@ def slot_neu_lehrer():
 
 
 @bp.route("/slot/<int:slot_id>/loeschen", methods=["POST"])
-@admin_required
+@power_oder_admin
 def slot_loeschen(slot_id):
     """Slot hart loeschen (Lehrer-Override). Ein 'stornieren'-Status haetten
     wir auch, aber Lehrer-Aufraeumarbeiten sind oft endgueltig.
@@ -467,7 +483,7 @@ def _software_clean_form(form):
 
 
 @bp.route("/software")
-@admin_required
+@power_oder_admin
 def software_liste():
     """Verwaltung der Software-Karten — Liste + Anlegen-Formular auf einer Seite."""
     conn = get_db()
@@ -481,7 +497,7 @@ def software_liste():
 
 
 @bp.route("/software/neu", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_neu():
     try:
         daten = _software_clean_form(request.form)
@@ -516,7 +532,7 @@ def software_neu():
 
 
 @bp.route("/software/<int:karte_id>/bearbeiten", methods=["GET", "POST"])
-@admin_required
+@power_oder_admin
 def software_bearbeiten(karte_id):
     """Bearbeiten-Seite fuer eine Software-Karte. Gleiches Form-Layout wie /neu,
     aber alle Felder vorbefuellt. Slug kann hier NICHT geaendert werden (waere
@@ -571,7 +587,7 @@ def software_bearbeiten(karte_id):
 
 
 @bp.route("/software/<int:karte_id>/aktiv", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_aktiv_toggle(karte_id):
     conn = get_db()
     conn.execute(
@@ -584,7 +600,7 @@ def software_aktiv_toggle(karte_id):
 
 
 @bp.route("/software/<int:karte_id>/loeschen", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_loeschen(karte_id):
     """Hart loeschen — wir haben keine FK-Beziehungen zu Software-Karten, das ist sicher."""
     conn = get_db()
@@ -745,7 +761,7 @@ def projekt_admin_loeschen(projekt_id):
 # ===========================================================================
 
 @bp.route("/software/<int:karte_id>/bild", methods=["GET", "POST"])
-@admin_required
+@power_oder_admin
 def software_bild(karte_id):
     """Bild fuer eine Software-Karte hochladen (Paste + Crop, base64 ueber JSON).
 
@@ -795,7 +811,7 @@ def software_bild(karte_id):
 
 
 @bp.route("/software/<int:karte_id>/bild/loeschen", methods=["POST"])
-@admin_required
+@power_oder_admin
 def software_bild_loeschen(karte_id):
     conn = get_db()
     conn.execute(
@@ -867,9 +883,12 @@ def admin_lektionen():
 
 
 @bp.route("/drucker")
-@admin_required
+@power_oder_admin
 def admin_drucker():
-    """Drucker-Verwaltung: Status setzen, Freigabe-Toggle, Links pflegen."""
+    """Drucker-Verwaltung: Status setzen, Freigabe-Toggle, Links pflegen.
+
+    Power-User (fortgeschrittene SuS / Herb) duerfen das mitverwalten.
+    """
     from services.drucker_links import drucker_links
     conn = get_db()
     rows = conn.execute(
@@ -901,7 +920,7 @@ DRUCKER_STATUS_OPTIONEN = (
 
 
 @bp.route("/drucker/<int:drucker_id>/status", methods=["POST"])
-@admin_required
+@power_oder_admin
 def drucker_status_setzen(drucker_id):
     """Lehrer setzt den Status eines Druckers manuell."""
     from datetime import datetime
@@ -940,7 +959,7 @@ def drucker_status_setzen(drucker_id):
 
 
 @bp.route("/drucker/<int:drucker_id>/freigabe", methods=["POST"])
-@admin_required
+@power_oder_admin
 def drucker_freigabe_toggle(drucker_id):
     """Drucker fuer Reservierung freigeben oder sperren (mit optionalem Grund)."""
     neuer_wert = 1 if request.form.get("freigeben") == "1" else 0