@kreiseck/kasseneck-api 1.3.0 → 1.4.0

package/dist/cjs/inventory/vertrag.d.ts

@@ -0,0 +1,76 @@
+/**
+ * Der Vertrag der Lager-API (Backend Stufe 5a) als Daten: Endpunkte,
+ * Wertkataloge, Ereignisse und Fehlercodes, englisch wie am Draht `/v3`.
+ *
+ * Quelle ist der Vertrags-Export des Backends (`fixtures/v3/v3-vokabular.json`):
+ * `endpoints.public`, die Kataloge `STANDORT_TYP`, `BEWEGUNG_ART`,
+ * `BEWEGUNG_QUELLE`, `LAGER_ZUSTAND`, `LAGER_URSACHE`, `ZUSTELLUNG` und
+ * `events`. `test/inventory.test.ts` haelt jede Liste deckungsgleich mit
+ * dieser Datei; nichts hier wird geraten.
+ */
+/** Die 14 Endpunkte, in der Reihenfolge von `endpoints.public`. */
+export declare const INVENTORY_ENDPOINTS: readonly ["getArticle", "listArticles", "lookupArticleByCode", "listLocations", "getStock", "listStock", "listStockMovements", "createWebhook", "updateWebhook", "deleteWebhook", "listWebhooks", "sendWebhookTest", "rotateWebhookSecret", "listWebhookDeliveries"];
+export type InventoryEndpoint = (typeof INVENTORY_ENDPOINTS)[number];
+/** Art eines Standorts (Katalog `STANDORT_TYP`). */
+export declare const LOCATION_TYPES: readonly ["warehouse", "store", "vehicle", "other"];
+export type LocationType = (typeof LOCATION_TYPES)[number];
+/**
+ * Art einer Lagerbewegung (Katalog `BEWEGUNG_ART`); zugleich der Filter `type`.
+ * `goods_receipt` ist der Wareneingang, `takeover` der uebernommene Anfangsbestand
+ * (auch per Import). `receipt` gibt es hier nicht: das ist der Kassenbeleg (Quelle).
+ */
+export declare const STOCK_MOVEMENT_TYPES: readonly ["sale", "goods_receipt", "loss", "return", "transfer_out", "transfer_in", "condition_out", "condition_in", "stocktake", "adjustment", "takeover", "reversal", "revaluation", "method_change"];
+export type StockMovementType = (typeof STOCK_MOVEMENT_TYPES)[number];
+/**
+ * Woher eine Bewegung kommt (Katalog `BEWEGUNG_QUELLE`); zugleich der Filter
+ * `source`. `receipt` ist der Kassenbeleg wie ueberall in der API (der
+ * Wareneingang ist die Bewegungsart `goods_receipt`).
+ */
+export declare const STOCK_MOVEMENT_SOURCES: readonly ["receipt", "invoice", "cancellation", "credit_note", "panel", "register", "api", "stocktake", "system"];
+export type StockMovementSource = (typeof STOCK_MOVEMENT_SOURCES)[number];
+/** Zustand der Ware an einer Bewegung (Katalog `LAGER_ZUSTAND`). */
+export declare const STOCK_CONDITIONS: readonly ["sellable", "defective"];
+export type StockCondition = (typeof STOCK_CONDITIONS)[number];
+/**
+ * Ursache eines `stock.changed` (Katalog `LAGER_URSACHE`), abgeleitet aus der
+ * juengsten Bewegung mit Mengenwirkung. `other`: keine Regel passt oder es
+ * gibt keine Bewegung (dann ist `movementId` `null`).
+ */
+export declare const STOCK_CHANGE_CAUSES: readonly ["sale", "invoice", "credit_note", "cancellation", "goods_receipt", "transfer", "loss", "condition", "reversal", "reservation", "stocktake", "takeover", "other"];
+export type StockChangeCause = (typeof STOCK_CHANGE_CAUSES)[number];
+/** Stand einer Zustellung (Katalog `ZUSTELLUNG`, derselbe wie bei Partner-Webhooks). */
+export declare const WEBHOOK_DELIVERY_STATUSES: readonly ["delivered", "pending", "failed", "dropped"];
+export type WebhookDeliveryStatus = (typeof WEBHOOK_DELIVERY_STATUSES)[number];
+/**
+ * Die Ereignisse, die ein Konto-Webhook abonnieren kann (Stufe 5a). Spaetere
+ * Stufen ergaenzen `reservation.*` und `variant_group.*`.
+ */
+export declare const INVENTORY_WEBHOOK_EVENTS: readonly ["stock.changed", "stock.below_minimum", "article.created", "article.updated", "article.deactivated"];
+export type InventoryWebhookEventType = (typeof INVENTORY_WEBHOOK_EVENTS)[number];
+/**
+ * Die Felder der Huelle jeder Zustellung, in der Reihenfolge am Draht. Statt
+ * `partnerId` (Partner-Webhooks) traegt sie `accountId`; `test` steht nur auf
+ * Probesendungen.
+ */
+export declare const INVENTORY_WEBHOOK_ENVELOPE_FIELDS: readonly ["id", "type", "createdAt", "accountId", "test", "data"];
+/** Hoechstzahl der Webhooks je Konto (`webhook_limit`, wie bei Partner-Webhooks). */
+export declare const INVENTORY_WEBHOOK_LIMIT = 5;
+/** Groesstes `limit` einer Liste; ohne Angabe liefert der Server 50. */
+export declare const INVENTORY_LIST_LIMIT_MAX = 200;
+/**
+ * Die Codes, die die Lager-Endpunkte selbst senden. `validation` traegt
+ * `errors: [{ field, message }]`, `rate_limited` traegt `retryAfterSec`
+ * (dazu die Kopfzeile `Retry-After`) – auch bei `sendWebhookTest` nach 20
+ * Probesendungen je Wiener Kalendertag (dann bis Mitternacht in Wien).
+ */
+export declare const INVENTORY_ERROR_CODES: readonly ["validation", "invalid_cursor", "article_not_found", "webhook_not_found", "webhook_limit", "invalid_webhook_url", "event_not_subscribed", "webhook_inactive", "inventory_api_not_enabled", "module_inactive", "rate_limited", "server_error"];
+export type InventoryErrorCode = (typeof INVENTORY_ERROR_CODES)[number];
+/**
+ * Codes, die Anmeldung und Rand auf jedem Lager-Aufruf erzeugen koennen,
+ * soweit sie nicht schon in [INVENTORY_ERROR_CODES] stehen: `errorCodes.auth`
+ * ohne die des Partner-Zugangs und `errorCodes.edge` (sortiert), zuletzt
+ * `route_missing` (Code des Pakets). Dieselbe Ableitung wie bei der
+ * Rechnungs-API.
+ */
+export declare const INVENTORY_REQUEST_ERROR_CODES: readonly ["account_not_found", "admin_required", "api_not_approved", "cashregister_not_assigned", "cashregister_not_found", "cashregister_token_invalid", "cashregister_token_missing", "dialect_mismatch", "internal_translation_error", "live_not_enabled", "method_not_allowed", "mfa_required", "not_found", "register_user_no_business", "register_user_not_allowed", "register_user_not_found", "response_translation_failed", "session_expired", "session_other_cashregister", "unauthorized", "user_disabled", "user_verification_failed", "route_missing"];
+export type InventoryRequestErrorCode = (typeof INVENTORY_REQUEST_ERROR_CODES)[number];

package/dist/cjs/inventory/vertrag.js

@@ -0,0 +1,166 @@
+"use strict";
+/**
+ * Der Vertrag der Lager-API (Backend Stufe 5a) als Daten: Endpunkte,
+ * Wertkataloge, Ereignisse und Fehlercodes, englisch wie am Draht `/v3`.
+ *
+ * Quelle ist der Vertrags-Export des Backends (`fixtures/v3/v3-vokabular.json`):
+ * `endpoints.public`, die Kataloge `STANDORT_TYP`, `BEWEGUNG_ART`,
+ * `BEWEGUNG_QUELLE`, `LAGER_ZUSTAND`, `LAGER_URSACHE`, `ZUSTELLUNG` und
+ * `events`. `test/inventory.test.ts` haelt jede Liste deckungsgleich mit
+ * dieser Datei; nichts hier wird geraten.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.INVENTORY_REQUEST_ERROR_CODES = exports.INVENTORY_ERROR_CODES = exports.INVENTORY_LIST_LIMIT_MAX = exports.INVENTORY_WEBHOOK_LIMIT = exports.INVENTORY_WEBHOOK_ENVELOPE_FIELDS = exports.INVENTORY_WEBHOOK_EVENTS = exports.WEBHOOK_DELIVERY_STATUSES = exports.STOCK_CHANGE_CAUSES = exports.STOCK_CONDITIONS = exports.STOCK_MOVEMENT_SOURCES = exports.STOCK_MOVEMENT_TYPES = exports.LOCATION_TYPES = exports.INVENTORY_ENDPOINTS = void 0;
+/** Die 14 Endpunkte, in der Reihenfolge von `endpoints.public`. */
+exports.INVENTORY_ENDPOINTS = [
+    'getArticle',
+    'listArticles',
+    'lookupArticleByCode',
+    'listLocations',
+    'getStock',
+    'listStock',
+    'listStockMovements',
+    'createWebhook',
+    'updateWebhook',
+    'deleteWebhook',
+    'listWebhooks',
+    'sendWebhookTest',
+    'rotateWebhookSecret',
+    'listWebhookDeliveries',
+];
+/** Art eines Standorts (Katalog `STANDORT_TYP`). */
+exports.LOCATION_TYPES = ['warehouse', 'store', 'vehicle', 'other'];
+/**
+ * Art einer Lagerbewegung (Katalog `BEWEGUNG_ART`); zugleich der Filter `type`.
+ * `goods_receipt` ist der Wareneingang, `takeover` der uebernommene Anfangsbestand
+ * (auch per Import). `receipt` gibt es hier nicht: das ist der Kassenbeleg (Quelle).
+ */
+exports.STOCK_MOVEMENT_TYPES = [
+    'sale',
+    'goods_receipt',
+    'loss',
+    'return',
+    'transfer_out',
+    'transfer_in',
+    'condition_out',
+    'condition_in',
+    'stocktake',
+    'adjustment',
+    'takeover',
+    'reversal',
+    'revaluation',
+    'method_change',
+];
+/**
+ * Woher eine Bewegung kommt (Katalog `BEWEGUNG_QUELLE`); zugleich der Filter
+ * `source`. `receipt` ist der Kassenbeleg wie ueberall in der API (der
+ * Wareneingang ist die Bewegungsart `goods_receipt`).
+ */
+exports.STOCK_MOVEMENT_SOURCES = [
+    'receipt',
+    'invoice',
+    'cancellation',
+    'credit_note',
+    'panel',
+    'register',
+    'api',
+    'stocktake',
+    'system',
+];
+/** Zustand der Ware an einer Bewegung (Katalog `LAGER_ZUSTAND`). */
+exports.STOCK_CONDITIONS = ['sellable', 'defective'];
+/**
+ * Ursache eines `stock.changed` (Katalog `LAGER_URSACHE`), abgeleitet aus der
+ * juengsten Bewegung mit Mengenwirkung. `other`: keine Regel passt oder es
+ * gibt keine Bewegung (dann ist `movementId` `null`).
+ */
+exports.STOCK_CHANGE_CAUSES = [
+    'sale',
+    'invoice',
+    'credit_note',
+    'cancellation',
+    'goods_receipt',
+    'transfer',
+    'loss',
+    'condition',
+    'reversal',
+    'reservation',
+    'stocktake',
+    'takeover',
+    'other',
+];
+/** Stand einer Zustellung (Katalog `ZUSTELLUNG`, derselbe wie bei Partner-Webhooks). */
+exports.WEBHOOK_DELIVERY_STATUSES = ['delivered', 'pending', 'failed', 'dropped'];
+/**
+ * Die Ereignisse, die ein Konto-Webhook abonnieren kann (Stufe 5a). Spaetere
+ * Stufen ergaenzen `reservation.*` und `variant_group.*`.
+ */
+exports.INVENTORY_WEBHOOK_EVENTS = [
+    'stock.changed',
+    'stock.below_minimum',
+    'article.created',
+    'article.updated',
+    'article.deactivated',
+];
+/**
+ * Die Felder der Huelle jeder Zustellung, in der Reihenfolge am Draht. Statt
+ * `partnerId` (Partner-Webhooks) traegt sie `accountId`; `test` steht nur auf
+ * Probesendungen.
+ */
+exports.INVENTORY_WEBHOOK_ENVELOPE_FIELDS = ['id', 'type', 'createdAt', 'accountId', 'test', 'data'];
+/** Hoechstzahl der Webhooks je Konto (`webhook_limit`, wie bei Partner-Webhooks). */
+exports.INVENTORY_WEBHOOK_LIMIT = 5;
+/** Groesstes `limit` einer Liste; ohne Angabe liefert der Server 50. */
+exports.INVENTORY_LIST_LIMIT_MAX = 200;
+/**
+ * Die Codes, die die Lager-Endpunkte selbst senden. `validation` traegt
+ * `errors: [{ field, message }]`, `rate_limited` traegt `retryAfterSec`
+ * (dazu die Kopfzeile `Retry-After`) – auch bei `sendWebhookTest` nach 20
+ * Probesendungen je Wiener Kalendertag (dann bis Mitternacht in Wien).
+ */
+exports.INVENTORY_ERROR_CODES = [
+    'validation',
+    'invalid_cursor',
+    'article_not_found',
+    'webhook_not_found',
+    'webhook_limit',
+    'invalid_webhook_url',
+    'event_not_subscribed',
+    'webhook_inactive',
+    'inventory_api_not_enabled',
+    'module_inactive',
+    'rate_limited',
+    'server_error',
+];
+/**
+ * Codes, die Anmeldung und Rand auf jedem Lager-Aufruf erzeugen koennen,
+ * soweit sie nicht schon in [INVENTORY_ERROR_CODES] stehen: `errorCodes.auth`
+ * ohne die des Partner-Zugangs und `errorCodes.edge` (sortiert), zuletzt
+ * `route_missing` (Code des Pakets). Dieselbe Ableitung wie bei der
+ * Rechnungs-API.
+ */
+exports.INVENTORY_REQUEST_ERROR_CODES = [
+    'account_not_found',
+    'admin_required',
+    'api_not_approved',
+    'cashregister_not_assigned',
+    'cashregister_not_found',
+    'cashregister_token_invalid',
+    'cashregister_token_missing',
+    'dialect_mismatch',
+    'internal_translation_error',
+    'live_not_enabled',
+    'method_not_allowed',
+    'mfa_required',
+    'not_found',
+    'register_user_no_business',
+    'register_user_not_allowed',
+    'register_user_not_found',
+    'response_translation_failed',
+    'session_expired',
+    'session_other_cashregister',
+    'unauthorized',
+    'user_disabled',
+    'user_verification_failed',
+    'route_missing',
+];

package/dist/cjs/inventory/webhook.d.ts

@@ -0,0 +1,50 @@
+/**
+ * Eingehende Konto-Webhooks der Lager-API: Signatur pruefen, Ereignis lesen.
+ *
+ * Dasselbe Verfahren wie bei Partner-Webhooks (Backend
+ * `gemeinsam/webhook-core.js`, `signaturKopf`/`pruefeSignatur`): Kopf
+ * `X-Kasseneck-Signature: t=<unix-sekunden>,v1=<hex>` mit
+ * `v1 = HMAC-SHA256(secret, "<t>.<roher Rumpf>")`, Zeitfenster 300 Sekunden in
+ * beide Richtungen, zeitkonstanter Vergleich, mehrere `v1=`-Anteile erlaubt.
+ * Die Pruefung selbst liegt in `partner/webhook-signatur.ts` und wird hier nur
+ * mit der Form `(secret, kopf, rumpf, optionen)` angeboten.
+ *
+ * Reihenfolge im Empfaenger: **erst pruefen, dann lesen**, und dabei den
+ * **rohen** Rumpf nehmen (in Express `express.raw({ type: '*\/*' })` vor jedem
+ * JSON-Parser).
+ */
+import type { InventoryWebhookEvent } from './typen.js';
+export { WEBHOOK_SIGNATURE_HEADER, WEBHOOK_EVENT_HEADER, WEBHOOK_DELIVERY_HEADER, WEBHOOK_TOLERANCE_SEC, } from '../partner/webhook-signatur.js';
+export interface VerifyInventoryWebhookOptions {
+    /** Erlaubte Abweichung des Zeitstempels in Sekunden, in beide Richtungen; Vorgabe 300. */
+    toleranceSec?: number;
+    /** Jetzt: ein `Date` oder Millisekunden seit 1970 (wie `Date.now()`). Vorgabe: die Systemuhr. */
+    now?: Date | number;
+}
+/**
+ * Prueft die Signatur einer Zustellung. `true` nur, wenn Kopf, Zeitfenster
+ * und HMAC stimmen; jede schlechte Eingabe und jede Ausnahme ist `false`,
+ * nie ein Wurf.
+ *
+ * **Asynchron**, weil die Pruefung WebCrypto (`crypto.subtle`) benutzt: das
+ * Paket hat keine Laufzeitabhaengigkeit und laeuft auch im Browser.
+ *
+ * @param secret  das Secret aus `createWebhook`/`rotateWebhookSecret`; eine
+ *                Liste erlaubt den Wechsel (es reicht, wenn eines passt)
+ * @param header  der Wert von `X-Kasseneck-Signature`, unveraendert
+ * @param rawBody der **rohe** Rumpf (Text oder Bytes), nicht `JSON.parse` + `stringify`
+ */
+export declare function verifyInventoryWebhookSignature(secret: string | readonly string[], header: string | null | undefined, rawBody: string | Uint8Array, options?: VerifyInventoryWebhookOptions): Promise<boolean>;
+/**
+ * Liest eine Zustellung als typisiertes Ereignis. Vorher die Signatur pruefen
+ * ([verifyInventoryWebhookSignature]).
+ *
+ * - Ein Ereignis, das diese Paketversion nicht kennt (etwa `reservation.*`
+ *   einer spaeteren Stufe), ergibt `null`: mit 2xx antworten und uebergehen.
+ * - Ein Rumpf, der keine Huelle ist, oder eine Bruchzahl in einer Menge wirft
+ *   `KasseneckValidationError` (`scope: 'response'`).
+ *
+ * **Entdoppeln** auf `event.id`; **Stand statt Aenderung**: einen gespeicherten
+ * Bestand nur ueberschreiben, wenn `data.sequence` groesser ist.
+ */
+export declare function parseInventoryWebhookEvent(rawBody: string | Uint8Array): InventoryWebhookEvent | null;

package/dist/cjs/inventory/webhook.js

@@ -0,0 +1,110 @@
+"use strict";
+/**
+ * Eingehende Konto-Webhooks der Lager-API: Signatur pruefen, Ereignis lesen.
+ *
+ * Dasselbe Verfahren wie bei Partner-Webhooks (Backend
+ * `gemeinsam/webhook-core.js`, `signaturKopf`/`pruefeSignatur`): Kopf
+ * `X-Kasseneck-Signature: t=<unix-sekunden>,v1=<hex>` mit
+ * `v1 = HMAC-SHA256(secret, "<t>.<roher Rumpf>")`, Zeitfenster 300 Sekunden in
+ * beide Richtungen, zeitkonstanter Vergleich, mehrere `v1=`-Anteile erlaubt.
+ * Die Pruefung selbst liegt in `partner/webhook-signatur.ts` und wird hier nur
+ * mit der Form `(secret, kopf, rumpf, optionen)` angeboten.
+ *
+ * Reihenfolge im Empfaenger: **erst pruefen, dann lesen**, und dabei den
+ * **rohen** Rumpf nehmen (in Express `express.raw({ type: '*\/*' })` vor jedem
+ * JSON-Parser).
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.WEBHOOK_TOLERANCE_SEC = exports.WEBHOOK_DELIVERY_HEADER = exports.WEBHOOK_EVENT_HEADER = exports.WEBHOOK_SIGNATURE_HEADER = void 0;
+exports.verifyInventoryWebhookSignature = verifyInventoryWebhookSignature;
+exports.parseInventoryWebhookEvent = parseInventoryWebhookEvent;
+const errors_js_1 = require("../client/errors.js");
+const webhook_signatur_js_1 = require("../partner/webhook-signatur.js");
+const lesen_js_1 = require("./lesen.js");
+const vertrag_js_1 = require("./vertrag.js");
+var webhook_signatur_js_2 = require("../partner/webhook-signatur.js");
+Object.defineProperty(exports, "WEBHOOK_SIGNATURE_HEADER", { enumerable: true, get: function () { return webhook_signatur_js_2.WEBHOOK_SIGNATURE_HEADER; } });
+Object.defineProperty(exports, "WEBHOOK_EVENT_HEADER", { enumerable: true, get: function () { return webhook_signatur_js_2.WEBHOOK_EVENT_HEADER; } });
+Object.defineProperty(exports, "WEBHOOK_DELIVERY_HEADER", { enumerable: true, get: function () { return webhook_signatur_js_2.WEBHOOK_DELIVERY_HEADER; } });
+Object.defineProperty(exports, "WEBHOOK_TOLERANCE_SEC", { enumerable: true, get: function () { return webhook_signatur_js_2.WEBHOOK_TOLERANCE_SEC; } });
+/**
+ * Prueft die Signatur einer Zustellung. `true` nur, wenn Kopf, Zeitfenster
+ * und HMAC stimmen; jede schlechte Eingabe und jede Ausnahme ist `false`,
+ * nie ein Wurf.
+ *
+ * **Asynchron**, weil die Pruefung WebCrypto (`crypto.subtle`) benutzt: das
+ * Paket hat keine Laufzeitabhaengigkeit und laeuft auch im Browser.
+ *
+ * @param secret  das Secret aus `createWebhook`/`rotateWebhookSecret`; eine
+ *                Liste erlaubt den Wechsel (es reicht, wenn eines passt)
+ * @param header  der Wert von `X-Kasseneck-Signature`, unveraendert
+ * @param rawBody der **rohe** Rumpf (Text oder Bytes), nicht `JSON.parse` + `stringify`
+ */
+async function verifyInventoryWebhookSignature(secret, header, rawBody, options = {}) {
+    try {
+        const jetzt = options.now instanceof Date ? options.now.getTime() : options.now;
+        const nowSec = typeof jetzt === 'number' && Number.isFinite(jetzt) ? Math.floor(jetzt / 1000) : undefined;
+        const r = await (0, webhook_signatur_js_1.verifyWebhookSignature)({
+            secret,
+            signatureHeader: header,
+            body: rawBody,
+            ...(nowSec === undefined ? {} : { nowSec }),
+            ...(options.toleranceSec === undefined ? {} : { toleranceSec: options.toleranceSec }),
+        });
+        return r.ok;
+    }
+    catch {
+        return false;
+    }
+}
+const BEKANNT = new Set(vertrag_js_1.INVENTORY_WEBHOOK_EVENTS);
+function kaputt(grund) {
+    return new errors_js_1.KasseneckValidationError('parseInventoryWebhookEvent', grund, 'response');
+}
+/**
+ * Liest eine Zustellung als typisiertes Ereignis. Vorher die Signatur pruefen
+ * ([verifyInventoryWebhookSignature]).
+ *
+ * - Ein Ereignis, das diese Paketversion nicht kennt (etwa `reservation.*`
+ *   einer spaeteren Stufe), ergibt `null`: mit 2xx antworten und uebergehen.
+ * - Ein Rumpf, der keine Huelle ist, oder eine Bruchzahl in einer Menge wirft
+ *   `KasseneckValidationError` (`scope: 'response'`).
+ *
+ * **Entdoppeln** auf `event.id`; **Stand statt Aenderung**: einen gespeicherten
+ * Bestand nur ueberschreiben, wenn `data.sequence` groesser ist.
+ */
+function parseInventoryWebhookEvent(rawBody) {
+    const text = typeof rawBody === 'string' ? rawBody : new TextDecoder('utf-8').decode(rawBody);
+    let roh;
+    try {
+        roh = JSON.parse(text);
+    }
+    catch {
+        throw kaputt('Rumpf ist kein JSON');
+    }
+    const e = (0, lesen_js_1.objekt)(roh);
+    if (!e)
+        throw kaputt('Rumpf ist kein Ereignis (kein Objekt)');
+    const { id, type, createdAt, accountId, data } = e;
+    if (typeof id !== 'string' || id === '' || typeof type !== 'string' || type === '')
+        throw kaputt('Ereignis ohne id oder type');
+    if (typeof createdAt !== 'number' || !Number.isFinite(createdAt))
+        throw kaputt('Ereignis ohne createdAt');
+    if (typeof accountId !== 'string' || accountId === '')
+        throw kaputt('Ereignis ohne accountId');
+    if (!BEKANNT.has(type))
+        return null;
+    const ort = { name: 'parseInventoryWebhookEvent', pfad: 'data' };
+    if (!(0, lesen_js_1.objekt)(data))
+        throw kaputt('Ereignis ohne data');
+    // Nur ein ausdrueckliches `true` ist eine Probe; im Zweifel der Ernstfall.
+    const huelle = { id, type: type, createdAt, accountId, test: e.test === true };
+    switch (huelle.type) {
+        case 'stock.changed':
+            return { ...huelle, type: huelle.type, data: (0, lesen_js_1.bestandGeaendert)(ort, data) };
+        case 'stock.below_minimum':
+            return { ...huelle, type: huelle.type, data: (0, lesen_js_1.unterMindestbestand)(ort, data) };
+        default:
+            return { ...huelle, type: huelle.type, data: (0, lesen_js_1.artikel)(ort, data) };
+    }
+}

package/dist/cjs/stored/vokabular.d.ts

@@ -1,5 +1,5 @@
 /** Fingerabdruck des Vertrags-Exports, aus dem diese Datei stammt (`_quelle.sha256`). */
-export declare const VOKABULAR_QUELLE = "b1049e2f65e9261cf8f729481d9ce1e5afda2cf620333f38ae6bf1afb36c8712";
+export declare const VOKABULAR_QUELLE = "79931a40ccaea45777da4713bba475c2f74e1fe7d6264f294cecd321964f9ded";
 /** Schema-Notation des Vertrags: Blatt 'aussen': 'innen', Objekt { __: 'innen', ... }, Liste [ { __: 'innen', ... } ]. */
 export type SchemaEintrag = string | SchemaObjekt | readonly [SchemaObjekt];
 export interface SchemaObjekt {

package/dist/cjs/stored/vokabular.js

@@ -4,7 +4,7 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.KATALOGE = exports.ARTIKEL_FELDER = exports.SCHEMAS = exports.VOKABULAR_QUELLE = void 0;
 /** Fingerabdruck des Vertrags-Exports, aus dem diese Datei stammt (`_quelle.sha256`). */
-exports.VOKABULAR_QUELLE = "b1049e2f65e9261cf8f729481d9ce1e5afda2cf620333f38ae6bf1afb36c8712";
+exports.VOKABULAR_QUELLE = "79931a40ccaea45777da4713bba475c2f74e1fe7d6264f294cecd321964f9ded";
 /** Schema je Endpunkt (aussen -> innen) und Wertverweise auf die Kataloge. */
 exports.SCHEMAS = {
     "getReceipt": {

package/dist/cjs/version.d.ts

@@ -4,4 +4,4 @@
  * Client-Version, Nachtrag §6). Ein Test haelt sie gleich mit `package.json`;
  * beim Anheben der Version beide Stellen aendern.
  */
-export declare const PACKAGE_VERSION = "1.3.0";
+export declare const PACKAGE_VERSION = "1.4.0";

package/dist/cjs/version.js

@@ -7,4 +7,4 @@ exports.PACKAGE_VERSION = void 0;
  * Client-Version, Nachtrag §6). Ein Test haelt sie gleich mit `package.json`;
  * beim Anheben der Version beide Stellen aendern.
  */
-exports.PACKAGE_VERSION = '1.3.0';
+exports.PACKAGE_VERSION = '1.4.0';

package/dist/esm/client/aufrufe.d.ts

@@ -13,7 +13,7 @@
  * umhuellt, muss ihn weiterhin absetzen koennen.
  */
 import type { TransportBodyFields } from './transport.js';
-export declare const ALL_CALLS: readonly ["activateCashregister", "cancelInvoice", "cancelReceipt", "createCreditNote", "createCustomer", "createCustomerCashregister", "createPartnerCustomer", "checkPartnerCustomerEmail", "createPartnerWebhook", "createPaymentLinkStripe", "createPrintJob", "createReceipt", "deletePartnerWebhook", "downloadDailyReport", "downloadReport", "endRegisterSession", "financeWebService", "generateFullReceiptId", "getCustomer", "getCustomerCredentials", "getCustomerSignatureStatus", "getFirstReceiptDate", "getInvoice", "getInvoicePdf", "getInvoiceSetupStatus", "getInvoiceXml", "getKasseSettings", "getPartnerCustomer", "getPartnerInfo", "getPrintJob", "getReceipt", "getReportV2", "hobexPayApi", "hobexRefundApi", "issueInvoice", "listCustomerCashregisters", "listInvoices", "listBrands", "listMyArticleGroups", "listMyArticles", "listMyCashregisters", "listMyPrinters", "listMyReceipts", "listMyStock", "listMyStockLocations", "listMyTipRecipients", "listPartnerCustomers", "listPartnerWebhookDeliveries", "listPartnerWebhooks", "listRegisterUsersForDevice", "listRegisterSessionsForDevice", "pairRegisterDevice", "recordInvoicePayment", "registerPinLogin", "registerUserLogin", "renewRegisterSession", "reportCustomerContract", "requestCustomerSignature", "searchCustomers", "sendPartnerCustomerFonLink", "sendPartnerWebhookTest", "sendReceiptEmail", "setMyCashregisterStockLocation", "setMyKasseLogo", "setMyKasseSettings", "setMyRegisterDeviceSettings", "stripeCaptureIntent", "unpairRegisterDevice", "rotatePartnerWebhookSecret", "updateCustomer", "updatePartnerWebhook"];
+export declare const ALL_CALLS: readonly ["activateCashregister", "cancelInvoice", "cancelReceipt", "createCreditNote", "createCustomer", "createCustomerCashregister", "createPartnerCustomer", "checkPartnerCustomerEmail", "createPartnerWebhook", "createPaymentLinkStripe", "createPrintJob", "createReceipt", "deletePartnerWebhook", "downloadDailyReport", "downloadReport", "endRegisterSession", "financeWebService", "generateFullReceiptId", "getCustomer", "getCustomerCredentials", "getCustomerSignatureStatus", "getFirstReceiptDate", "getInvoice", "getInvoicePdf", "getInvoiceSetupStatus", "getInvoiceXml", "getKasseSettings", "getPartnerCustomer", "getPartnerInfo", "getPrintJob", "getReceipt", "getReportV2", "hobexPayApi", "hobexRefundApi", "issueInvoice", "listCustomerCashregisters", "listInvoices", "listBrands", "listMyArticleGroups", "listMyArticles", "listMyCashregisters", "listMyPrinters", "listMyReceipts", "listMyStock", "listMyStockLocations", "listMyTipRecipients", "listPartnerCustomers", "listPartnerWebhookDeliveries", "listPartnerWebhooks", "listRegisterUsersForDevice", "listRegisterSessionsForDevice", "pairRegisterDevice", "recordInvoicePayment", "registerPinLogin", "registerUserLogin", "renewRegisterSession", "reportCustomerContract", "requestCustomerSignature", "searchCustomers", "sendPartnerCustomerFonLink", "sendPartnerWebhookTest", "sendReceiptEmail", "setMyCashregisterStockLocation", "setMyKasseLogo", "setMyKasseSettings", "setMyRegisterDeviceSettings", "stripeCaptureIntent", "unpairRegisterDevice", "rotatePartnerWebhookSecret", "updateCustomer", "updatePartnerWebhook", "getArticle", "listArticles", "lookupArticleByCode", "listLocations", "getStock", "listStock", "listStockMovements", "createWebhook", "updateWebhook", "deleteWebhook", "listWebhooks", "sendWebhookTest", "rotateWebhookSecret", "listWebhookDeliveries"];
 export type ApiCall = typeof ALL_CALLS[number];
 /**
  * Die oeffentlichen Endpunkte unter `/v3` (`https://api.kasseneck.at/v3/<name>`),
@@ -21,7 +21,7 @@ export type ApiCall = typeof ALL_CALLS[number];
  * (`fixtures/v3/v3-vokabular.json`, `endpoints.public`, umbenannt nach
  * `names`). Ein Test haelt beide Listen deckungsgleich.
  */
-export declare const PUBLIC_CALLS: readonly ["createReceipt", "getReceipt", "cancelReceipt", "sendReceiptEmail", "generateFullReceiptId", "downloadReceipt", "getFirstReceiptDate", "getReportV2", "downloadReport", "downloadDailyReport", "createPaymentLinkStripe", "stripeCaptureIntent", "hobexPayApi", "hobexRefundApi", "hobexGetStatus", "financeWebService", "listMyTipRecipients", "getPartnerInfo", "createPartnerCustomer", "checkPartnerCustomerEmail", "listPartnerCustomers", "getPartnerCustomer", "sendPartnerCustomerFonLink", "createPartnerWebhook", "updatePartnerWebhook", "deletePartnerWebhook", "listPartnerWebhooks", "sendPartnerWebhookTest", "rotatePartnerWebhookSecret", "listPartnerWebhookDeliveries", "requestCustomerSignature", "getCustomerSignatureStatus", "createCustomerCashregister", "activateCashregister", "listCustomerCashregisters", "getCustomerCredentials", "reportCustomerContract", "getPartnerBilling", "getPartnerBillingMonth", "createCustomer", "getCustomer", "updateCustomer", "searchCustomers", "issueInvoice", "cancelInvoice", "createCreditNote", "getInvoice", "listInvoices", "getInvoicePdf", "getInvoiceXml", "getInvoiceSetupStatus", "listBrands", "recordInvoicePayment", "createInvoiceItem", "updateInvoiceItem", "withdrawInvoiceItem", "getInvoiceItem", "listInvoiceItems", "setCustomerMandate", "revokeCustomerMandate"];
+export declare const PUBLIC_CALLS: readonly ["createReceipt", "getReceipt", "cancelReceipt", "sendReceiptEmail", "generateFullReceiptId", "downloadReceipt", "getFirstReceiptDate", "getReportV2", "downloadReport", "downloadDailyReport", "createPaymentLinkStripe", "stripeCaptureIntent", "hobexPayApi", "hobexRefundApi", "hobexGetStatus", "financeWebService", "listMyTipRecipients", "getPartnerInfo", "createPartnerCustomer", "checkPartnerCustomerEmail", "listPartnerCustomers", "getPartnerCustomer", "sendPartnerCustomerFonLink", "createPartnerWebhook", "updatePartnerWebhook", "deletePartnerWebhook", "listPartnerWebhooks", "sendPartnerWebhookTest", "rotatePartnerWebhookSecret", "listPartnerWebhookDeliveries", "requestCustomerSignature", "getCustomerSignatureStatus", "createCustomerCashregister", "activateCashregister", "listCustomerCashregisters", "getCustomerCredentials", "reportCustomerContract", "getPartnerBilling", "getPartnerBillingMonth", "createCustomer", "getCustomer", "updateCustomer", "searchCustomers", "issueInvoice", "cancelInvoice", "createCreditNote", "getInvoice", "listInvoices", "getInvoicePdf", "getInvoiceXml", "getInvoiceSetupStatus", "listBrands", "recordInvoicePayment", "createInvoiceItem", "updateInvoiceItem", "withdrawInvoiceItem", "getInvoiceItem", "listInvoiceItems", "setCustomerMandate", "revokeCustomerMandate", "getArticle", "listArticles", "lookupArticleByCode", "listLocations", "getStock", "listStock", "listStockMovements", "createWebhook", "updateWebhook", "deleteWebhook", "listWebhooks", "sendWebhookTest", "rotateWebhookSecret", "listWebhookDeliveries"];
 /**
  * Die Endpunkte des Kassenwegs (`https://kasse.kasseneck.at/api/v3/<name>`,
  * Web-Kasse: gleicher Ursprung `/api/v3`), in der Reihenfolge von

package/dist/esm/client/aufrufe.js

@@ -70,6 +70,21 @@ export const ALL_CALLS = [
     'rotatePartnerWebhookSecret',
     'updateCustomer',
     'updatePartnerWebhook',
+    // Lager-API (Stufe 5a, ./inventory)
+    'getArticle',
+    'listArticles',
+    'lookupArticleByCode',
+    'listLocations',
+    'getStock',
+    'listStock',
+    'listStockMovements',
+    'createWebhook',
+    'updateWebhook',
+    'deleteWebhook',
+    'listWebhooks',
+    'sendWebhookTest',
+    'rotateWebhookSecret',
+    'listWebhookDeliveries',
 ];
 /**
  * Die oeffentlichen Endpunkte unter `/v3` (`https://api.kasseneck.at/v3/<name>`),
@@ -141,6 +156,21 @@ export const PUBLIC_CALLS = [
     'listInvoiceItems',
     'setCustomerMandate',
     'revokeCustomerMandate',
+    // Lager-API lesen und Konto-Webhooks (Backend Stufe 5a), umhuellt in `./inventory`.
+    'getArticle',
+    'listArticles',
+    'lookupArticleByCode',
+    'listLocations',
+    'getStock',
+    'listStock',
+    'listStockMovements',
+    'createWebhook',
+    'updateWebhook',
+    'deleteWebhook',
+    'listWebhooks',
+    'sendWebhookTest',
+    'rotateWebhookSecret',
+    'listWebhookDeliveries',
 ];
 /**
  * Die Endpunkte des Kassenwegs (`https://kasse.kasseneck.at/api/v3/<name>`,

package/dist/esm/inventory/api.d.ts

@@ -0,0 +1,45 @@
+/**
+ * Fassade ueber den Aufrufen der Lager-API: Schluessel einmal binden, dann
+ * rufen. Wie [createInvoiceApi] bewusst keine Klasse; die Aufrufe sind freie
+ * Funktionen (endpunkte.ts) und bleiben einzeln importierbar.
+ */
+import { type FetchLike } from '../client/transport.js';
+import type { Article, ArticleListQuery, ArticleLookup, ArticlePage, CreateInventoryWebhookOptions, InventoryWebhook, InventoryWebhookDelivery, InventoryWebhookList, InventoryWebhookPatch, InventoryWebhookTestResult, InventoryWebhookWithSecret, Location, StockLevel, StockListQuery, StockMovement, StockMovementPage, StockMovementQuery, StockPage, StockResult } from './typen.js';
+import type { InventoryWebhookEventType } from './vertrag.js';
+export interface InventoryClientOptions {
+    /** `api_key` des Kontos (`kr_live_…` / `kr_test_…`). Gehoert auf einen Server. */
+    apiKey: string;
+    /** Abweichende Basis-URL (eigener Proxy); muss auf `/v3` enden. Vorgabe `https://api.kasseneck.at/v3`. */
+    baseUrl?: string;
+    /** Zeitlimit je Aufruf in Millisekunden. */
+    timeoutMs?: number;
+    /** Eigene `fetch`-Umsetzung (Tests, Proxys). */
+    fetch?: FetchLike;
+}
+export interface InventoryClient {
+    getArticle(articleId: string): Promise<Article>;
+    listArticles(query?: ArticleListQuery): Promise<ArticlePage>;
+    /** Alle Artikel der Abfrage ueber `nextCursor`: `for await (const a of client.iterateArticles())`. */
+    iterateArticles(query?: ArticleListQuery): AsyncGenerator<Article, void, undefined>;
+    lookupArticleByCode(lookup: ArticleLookup): Promise<Article>;
+    listLocations(): Promise<Location[]>;
+    getStock(articleId: string): Promise<StockResult>;
+    listStock(query?: StockListQuery): Promise<StockPage>;
+    iterateStock(query?: StockListQuery): AsyncGenerator<StockLevel, void, undefined>;
+    listStockMovements(query?: StockMovementQuery): Promise<StockMovementPage>;
+    iterateStockMovements(query?: StockMovementQuery): AsyncGenerator<StockMovement, void, undefined>;
+    createWebhook(options: CreateInventoryWebhookOptions): Promise<InventoryWebhookWithSecret>;
+    updateWebhook(webhookId: string, patch: InventoryWebhookPatch): Promise<InventoryWebhook>;
+    deleteWebhook(webhookId: string): Promise<{
+        webhookId: string;
+        deleted: boolean;
+    }>;
+    listWebhooks(): Promise<InventoryWebhookList>;
+    sendWebhookTest(webhookId: string, event: InventoryWebhookEventType | (string & {})): Promise<InventoryWebhookTestResult>;
+    rotateWebhookSecret(webhookId: string): Promise<InventoryWebhookWithSecret>;
+    listWebhookDeliveries(options?: {
+        webhookId?: string;
+        limit?: number;
+    }): Promise<InventoryWebhookDelivery[]>;
+}
+export declare function createInventoryClient(options: InventoryClientOptions): InventoryClient;

package/dist/esm/inventory/api.js

@@ -0,0 +1,35 @@
+/**
+ * Fassade ueber den Aufrufen der Lager-API: Schluessel einmal binden, dann
+ * rufen. Wie [createInvoiceApi] bewusst keine Klasse; die Aufrufe sind freie
+ * Funktionen (endpunkte.ts) und bleiben einzeln importierbar.
+ */
+import { createTransport } from '../client/transport.js';
+import { inventoryKeyAuth } from './auth.js';
+import { createWebhook, deleteWebhook, getArticle, getStock, iterateArticles, iterateStock, iterateStockMovements, listArticles, listLocations, listStock, listStockMovements, listWebhookDeliveries, listWebhooks, lookupArticleByCode, rotateWebhookSecret, sendWebhookTest, updateWebhook, } from './endpunkte.js';
+export function createInventoryClient(options) {
+    const rufen = createTransport({
+        auth: inventoryKeyAuth({ apiKey: options.apiKey }),
+        baseUrl: options.baseUrl,
+        timeoutMs: options.timeoutMs,
+        fetch: options.fetch,
+    });
+    return {
+        getArticle: (id) => getArticle(rufen, id),
+        listArticles: (q) => listArticles(rufen, q),
+        iterateArticles: (q) => iterateArticles(rufen, q),
+        lookupArticleByCode: (l) => lookupArticleByCode(rufen, l),
+        listLocations: () => listLocations(rufen),
+        getStock: (id) => getStock(rufen, id),
+        listStock: (q) => listStock(rufen, q),
+        iterateStock: (q) => iterateStock(rufen, q),
+        listStockMovements: (q) => listStockMovements(rufen, q),
+        iterateStockMovements: (q) => iterateStockMovements(rufen, q),
+        createWebhook: (o) => createWebhook(rufen, o),
+        updateWebhook: (id, patch) => updateWebhook(rufen, id, patch),
+        deleteWebhook: (id) => deleteWebhook(rufen, id),
+        listWebhooks: () => listWebhooks(rufen),
+        sendWebhookTest: (id, event) => sendWebhookTest(rufen, id, event),
+        rotateWebhookSecret: (id) => rotateWebhookSecret(rufen, id),
+        listWebhookDeliveries: (o) => listWebhookDeliveries(rufen, o),
+    };
+}

package/dist/esm/inventory/auth.d.ts

@@ -0,0 +1,17 @@
+/**
+ * Anmeldung fuer die Lager-API: der `api_key` des Kontos als Bearer, ohne
+ * `cashregister-token` (gelesen wird am Konto, nicht an einer Kasse).
+ *
+ * **Der Schluessel gehoert auf einen Server**, etwa in das Backend eines
+ * Online-Shops, nie in ein Browser-Buendel.
+ *
+ * Geprueft wird nur, was ohne Netz sicher falsch ist: ein leerer Wert, ein
+ * Partner-Schluessel (`pk_…`) oder ein Kassen-Token (`cb_…`). Die Meldung
+ * nennt nie den Wert, nur seine Art.
+ */
+import type { KasseneckAuth } from '../client/auth.js';
+export interface InventoryKeyAuthOptions {
+    /** `api_key` des Kontos, z. B. `kr_live_…` oder `kr_test_…`. */
+    apiKey: string;
+}
+export declare function inventoryKeyAuth(options: InventoryKeyAuthOptions): KasseneckAuth;

package/dist/esm/inventory/auth.js

@@ -0,0 +1,24 @@
+/**
+ * Anmeldung fuer die Lager-API: der `api_key` des Kontos als Bearer, ohne
+ * `cashregister-token` (gelesen wird am Konto, nicht an einer Kasse).
+ *
+ * **Der Schluessel gehoert auf einen Server**, etwa in das Backend eines
+ * Online-Shops, nie in ein Browser-Buendel.
+ *
+ * Geprueft wird nur, was ohne Netz sicher falsch ist: ein leerer Wert, ein
+ * Partner-Schluessel (`pk_…`) oder ein Kassen-Token (`cb_…`). Die Meldung
+ * nennt nie den Wert, nur seine Art.
+ */
+import { KasseneckAuthError } from '../client/errors.js';
+export function inventoryKeyAuth(options) {
+    const schluessel = typeof options?.apiKey === 'string' ? options.apiKey.trim() : '';
+    if (!schluessel)
+        throw new KasseneckAuthError('inventoryKeyAuth: apiKey fehlt');
+    if (/^pk_(live|test)_/i.test(schluessel)) {
+        throw new KasseneckAuthError('inventoryKeyAuth: das ist ein Partner-Schluessel (pk_…); die Lager-API nimmt den api_key des Kontos (kr_…)');
+    }
+    if (/^cb_(live|test)_/i.test(schluessel)) {
+        throw new KasseneckAuthError('inventoryKeyAuth: das ist ein Kassen-Token (cb_…); die Lager-API nimmt den api_key des Kontos (kr_…)');
+    }
+    return () => ({ headers: { Authorization: `Bearer ${schluessel}` }, params: {} });
+}