feat: Konten sichtbar, Kontingent je Token, Plattenwaechter, Umbenennen im Verlauf

KONTEN SICHTBAR. Es gab zwei -- "admin" und eines aus Discord -- und KEINE
Stelle, an der man sie sehen konnte. Weil jeder mit der Rolle auf dem
Discord-Server beim ersten Anmelden still ein Konto bekommt, waeren aus zwei
unbemerkt zwanzig geworden: man erfaehrt es nicht, und wegnehmen ging auch
nicht.

Jetzt eine Liste mit Weg (Discord/Passwort), angelegt, zuletzt da und offenen
Sitzungen. Die Spalte "Weg" ist dabei die wichtigere Auskunft als der Name: ein
Discord-Konto haengt an einer Rolle, die jemand anders vergibt.

Zwei Sperren, beide mit Grund: das EIGENE Konto laesst sich hier nicht
entfernen -- das ist keine Bevormundung, sondern die Vermeidung des einen
Klicks, nach dem niemand mehr hereinkommt -- und das LETZTE auch nicht. Die
Rueckfrage sagt bei einem Discord-Konto dazu, dass die naechste Anmeldung ein
neues anlegt, solange die Rolle bleibt; sonst haelt jemand das Entfernen fuer
eine Aussperrung.

"zuletzt da" wird hoechstens einmal je Stunde geschrieben. Bei jedem Aufruf
waere es ein UPDATE je Anfrage, und das Dashboard stellt beim Blaettern durch
3600 Bilder eine Menge davon.

KONTINGENT JE TOKEN. max_bytes gab es laengst, aber es galt JE DATEI: ein Token
mit "hoechstens 2 MB je Bild" konnte trotzdem die Platte fuellen, es brauchte
nur genug Bilder. quota_bytes gilt fuer alles zusammen, gezaehlt ueber
media.token_id -- also ueber das, was wirklich liegt, statt ueber einen
mitlaufenden Zaehler, der auseinanderlaufen kann.

Auf BEIDEN Wegen geprueft, eigene API und Fivemanage-Weg: eine Grenze, die nur
an einer von zwei Tueren haengt, ist keine.

Die erste Fassung meldete "haelt 0.0 MB von 0.0 MB, und diese Datei braucht 0.0
MB" -- formal richtig, praktisch die Meldung, die genau die Frage nicht
beantwortet, wegen der man sie liest. Die Einheit waechst jetzt mit: "haelt 12
KB von 20 KB, und diese Datei braucht 12 KB."

PLATTENWAECHTER. Meldet bei 80, 90 und 95 Prozent, je Stufe genau einmal; wird
wieder Platz frei, meldet der naechste Engpass erneut. Der Grund steht in der
Meldung: eine volle Platte ist der eine Zustand, in dem gleichzeitig nichts mehr
hereinkommt UND die Sicherung nicht mehr schreiben kann.

Gemessen, und die Abweichung zu df ist gewollt:

    gesamt         1006,9 GB
    frei (bavail)   909,5 GB  ->  9,7 % belegt   <- was der Waechter sieht
    frei (bfree)    960,7 GB  ->  4,6 % belegt
    df sagt                        5 %

bavail zieht die ext4-Reserve ab, an die der Dienst als Nicht-root ohnehin nicht
herankommt. Er warnt damit etwas frueher -- die richtige Richtung. Wer spaeter
den Unterschied zu df sucht, findet ihn als Kommentar an Ort und Stelle.

Dabei fiel ein SCHLAFENDER FEHLER auf: der Merker gegen Wiederholungen lag unter
EINEM Schluessel fuer alle Wachhunde. Mit zwei davon haetten sie sich
gegenseitig ueberschrieben -- einer meldet, der andere haelt daraufhin seinen
eigenen Zustand fuer neu und meldet auch, oder schweigt, obwohl sich etwas
geaendert hat. Der Merker haengt jetzt am Anlass.

UMBENENNEN IM VERLAUF. Stand dort als "verschoben". Technisch stimmt das, fuer
den Leser nicht: verschoben heisst "liegt woanders", umbenannt heisst "heisst
anders, liegt noch da" -- und genau diesen Unterschied schlaegt man im Verlauf
nach. Eigene Art mit eigenem Zeichen. Die Filterleiste kennt jetzt auch move und
rename, die vorher gar nicht filterbar waren.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/src/routes/upload.ts

@@ -70,6 +70,55 @@ const requireToken = async (c: Context<{ Variables: Vars }>, next: Next) => {
     await next()
 }
 
+/** Prueft das Gesamtkontingent. Gibt einen SATZ zurueck, wenn es reisst.
+ *
+ *  Die Meldung nennt Zahlen: "belegt 1,9 GB von 2 GB, diese Datei braucht 130
+ *  KB" beantwortet die Frage, die man danach hat. Ein blosses "Kontingent
+ *  erschoepft" beantwortet sie nicht.
+ *
+ *  Ein ERSETZEN zaehlt hier grosszuegig als voller Neuzugang: der genaue Wert
+ *  waere (neu - alt), aber dafuer muesste hier schon feststehen, unter welchem
+ *  Pfad die Datei landet -- und das steht erst nach dem Lesen des Rumpfes fest.
+ *  Die Ungenauigkeit geht zugunsten der Grenze, nicht darueber hinaus. */
+export function kontingentUeberschritten(token: Token, kommt: number): string | null {
+    if (!token.quota_bytes) return null
+
+    const belegt = (
+        db
+            .prepare('SELECT COALESCE(SUM(size),0) AS b FROM media WHERE token_id = ?')
+            .get(token.id) as { b: number }
+    ).b
+
+    if (belegt + kommt <= token.quota_bytes) return null
+
+    return (
+        `Kontingent erschoepft: dieser Token haelt ${groesse(belegt)} von ` +
+        `${groesse(token.quota_bytes)}, und diese Datei braucht ${groesse(kommt)}.`
+    )
+}
+
+/** Bytes lesbar -- mit MITWACHSENDER Einheit.
+ *
+ *  Erst stand hier ein festes "MB", und die Meldung lautete daraufhin
+ *  "haelt 0.0 MB von 0.0 MB, und diese Datei braucht 0.0 MB". Formal richtig,
+ *  praktisch eine Meldung, die genau die Frage nicht beantwortet, wegen der man
+ *  sie liest. Bei einem Kontingent von 20 KB muss dort KB stehen.
+ *
+ *  1024 und nicht 1000: dieselbe Rechnung wie in der Oberflaeche, sonst nennt
+ *  der Dienst eine andere Zahl als das Dashboard daneben. */
+function groesse(n: number): string {
+    if (n < 1024) return `${n} B`
+    const einheiten = ['KB', 'MB', 'GB', 'TB']
+    let wert = n / 1024
+    let i = 0
+    while (wert >= 1024 && i < einheiten.length - 1) {
+        wert /= 1024
+        i++
+    }
+    // Eine Nachkommastelle nur, wo sie etwas sagt: "1,5 GB" ja, "512,0 KB" nein.
+    return `${wert < 10 ? wert.toFixed(1) : Math.round(wert)} ${einheiten[i]}`
+}
+
 /** Welche Medienart ist das? Dieselben Namen wie im Dashboard.
  *
  *  An EINER Stelle, damit die Einordnung beim Hochladen und die Anzeige in der
@@ -138,6 +187,15 @@ uploadRoutes.post('/upload', async (c) => {
         return c.json({ error: `zu gross: ${announced} > ${grenze} Bytes` }, 413)
     }
 
+    // DAS GESAMTKONTINGENT, geprueft BEVOR der Rumpf im Speicher liegt.
+    //
+    // max_bytes daneben gilt je Datei -- ein Token mit "hoechstens 2 MB je
+    // Bild" konnte die Platte trotzdem fuellen, es brauchte nur genug Bilder.
+    // Gezaehlt wird ueber media.token_id, also ueber das, was WIRKLICH liegt,
+    // und nicht ueber einen mitlaufenden Zaehler, der auseinanderlaufen kann.
+    const zuViel = kontingentUeberschritten(token, announced)
+    if (zuViel) return c.json({ error: zuViel }, 413)
+
     let body: Awaited<ReturnType<typeof readBody>>
     try {
         body = await readBody(c)
@@ -150,6 +208,10 @@ uploadRoutes.post('/upload', async (c) => {
     if (data.length > grenze) {
         return c.json({ error: `zu gross: ${data.length} > ${grenze} Bytes` }, 413)
     }
+    // Noch einmal mit der WIRKLICHEN Groesse: content-length ist eine Ansage
+    // des Aufrufers, keine Tatsache.
+    const zuViel2 = kontingentUeberschritten(token, data.length)
+    if (zuViel2) return c.json({ error: zuViel2 }, 413)
 
     const digest = sha256(data)