@kreiseck/kasseneck-api 1.3.0 → 1.4.0

package/dist/esm/inventory/vertrag.js

@@ -0,0 +1,163 @@
+/**
+ * Der Vertrag der Lager-API (Backend Stufe 5a) als Daten: Endpunkte,
+ * Wertkataloge, Ereignisse und Fehlercodes, englisch wie am Draht `/v3`.
+ *
+ * Quelle ist der Vertrags-Export des Backends (`fixtures/v3/v3-vokabular.json`):
+ * `endpoints.public`, die Kataloge `STANDORT_TYP`, `BEWEGUNG_ART`,
+ * `BEWEGUNG_QUELLE`, `LAGER_ZUSTAND`, `LAGER_URSACHE`, `ZUSTELLUNG` und
+ * `events`. `test/inventory.test.ts` haelt jede Liste deckungsgleich mit
+ * dieser Datei; nichts hier wird geraten.
+ */
+/** Die 14 Endpunkte, in der Reihenfolge von `endpoints.public`. */
+export const INVENTORY_ENDPOINTS = [
+    'getArticle',
+    'listArticles',
+    'lookupArticleByCode',
+    'listLocations',
+    'getStock',
+    'listStock',
+    'listStockMovements',
+    'createWebhook',
+    'updateWebhook',
+    'deleteWebhook',
+    'listWebhooks',
+    'sendWebhookTest',
+    'rotateWebhookSecret',
+    'listWebhookDeliveries',
+];
+/** Art eines Standorts (Katalog `STANDORT_TYP`). */
+export const LOCATION_TYPES = ['warehouse', 'store', 'vehicle', 'other'];
+/**
+ * Art einer Lagerbewegung (Katalog `BEWEGUNG_ART`); zugleich der Filter `type`.
+ * `goods_receipt` ist der Wareneingang, `takeover` der uebernommene Anfangsbestand
+ * (auch per Import). `receipt` gibt es hier nicht: das ist der Kassenbeleg (Quelle).
+ */
+export const STOCK_MOVEMENT_TYPES = [
+    'sale',
+    'goods_receipt',
+    'loss',
+    'return',
+    'transfer_out',
+    'transfer_in',
+    'condition_out',
+    'condition_in',
+    'stocktake',
+    'adjustment',
+    'takeover',
+    'reversal',
+    'revaluation',
+    'method_change',
+];
+/**
+ * Woher eine Bewegung kommt (Katalog `BEWEGUNG_QUELLE`); zugleich der Filter
+ * `source`. `receipt` ist der Kassenbeleg wie ueberall in der API (der
+ * Wareneingang ist die Bewegungsart `goods_receipt`).
+ */
+export const STOCK_MOVEMENT_SOURCES = [
+    'receipt',
+    'invoice',
+    'cancellation',
+    'credit_note',
+    'panel',
+    'register',
+    'api',
+    'stocktake',
+    'system',
+];
+/** Zustand der Ware an einer Bewegung (Katalog `LAGER_ZUSTAND`). */
+export const STOCK_CONDITIONS = ['sellable', 'defective'];
+/**
+ * Ursache eines `stock.changed` (Katalog `LAGER_URSACHE`), abgeleitet aus der
+ * juengsten Bewegung mit Mengenwirkung. `other`: keine Regel passt oder es
+ * gibt keine Bewegung (dann ist `movementId` `null`).
+ */
+export const STOCK_CHANGE_CAUSES = [
+    'sale',
+    'invoice',
+    'credit_note',
+    'cancellation',
+    'goods_receipt',
+    'transfer',
+    'loss',
+    'condition',
+    'reversal',
+    'reservation',
+    'stocktake',
+    'takeover',
+    'other',
+];
+/** Stand einer Zustellung (Katalog `ZUSTELLUNG`, derselbe wie bei Partner-Webhooks). */
+export const WEBHOOK_DELIVERY_STATUSES = ['delivered', 'pending', 'failed', 'dropped'];
+/**
+ * Die Ereignisse, die ein Konto-Webhook abonnieren kann (Stufe 5a). Spaetere
+ * Stufen ergaenzen `reservation.*` und `variant_group.*`.
+ */
+export const INVENTORY_WEBHOOK_EVENTS = [
+    'stock.changed',
+    'stock.below_minimum',
+    'article.created',
+    'article.updated',
+    'article.deactivated',
+];
+/**
+ * Die Felder der Huelle jeder Zustellung, in der Reihenfolge am Draht. Statt
+ * `partnerId` (Partner-Webhooks) traegt sie `accountId`; `test` steht nur auf
+ * Probesendungen.
+ */
+export const INVENTORY_WEBHOOK_ENVELOPE_FIELDS = ['id', 'type', 'createdAt', 'accountId', 'test', 'data'];
+/** Hoechstzahl der Webhooks je Konto (`webhook_limit`, wie bei Partner-Webhooks). */
+export const INVENTORY_WEBHOOK_LIMIT = 5;
+/** Groesstes `limit` einer Liste; ohne Angabe liefert der Server 50. */
+export const INVENTORY_LIST_LIMIT_MAX = 200;
+/**
+ * Die Codes, die die Lager-Endpunkte selbst senden. `validation` traegt
+ * `errors: [{ field, message }]`, `rate_limited` traegt `retryAfterSec`
+ * (dazu die Kopfzeile `Retry-After`) – auch bei `sendWebhookTest` nach 20
+ * Probesendungen je Wiener Kalendertag (dann bis Mitternacht in Wien).
+ */
+export const INVENTORY_ERROR_CODES = [
+    'validation',
+    'invalid_cursor',
+    'article_not_found',
+    'webhook_not_found',
+    'webhook_limit',
+    'invalid_webhook_url',
+    'event_not_subscribed',
+    'webhook_inactive',
+    'inventory_api_not_enabled',
+    'module_inactive',
+    'rate_limited',
+    'server_error',
+];
+/**
+ * Codes, die Anmeldung und Rand auf jedem Lager-Aufruf erzeugen koennen,
+ * soweit sie nicht schon in [INVENTORY_ERROR_CODES] stehen: `errorCodes.auth`
+ * ohne die des Partner-Zugangs und `errorCodes.edge` (sortiert), zuletzt
+ * `route_missing` (Code des Pakets). Dieselbe Ableitung wie bei der
+ * Rechnungs-API.
+ */
+export const INVENTORY_REQUEST_ERROR_CODES = [
+    'account_not_found',
+    'admin_required',
+    'api_not_approved',
+    'cashregister_not_assigned',
+    'cashregister_not_found',
+    'cashregister_token_invalid',
+    'cashregister_token_missing',
+    'dialect_mismatch',
+    'internal_translation_error',
+    'live_not_enabled',
+    'method_not_allowed',
+    'mfa_required',
+    'not_found',
+    'register_user_no_business',
+    'register_user_not_allowed',
+    'register_user_not_found',
+    'response_translation_failed',
+    'session_expired',
+    'session_other_cashregister',
+    'unauthorized',
+    'user_disabled',
+    'user_verification_failed',
+    'route_missing',
+];

package/dist/esm/inventory/webhook.d.ts

@@ -0,0 +1,50 @@
+/**
+ * Eingehende Konto-Webhooks der Lager-API: Signatur pruefen, Ereignis lesen.
+ *
+ * Dasselbe Verfahren wie bei Partner-Webhooks (Backend
+ * `gemeinsam/webhook-core.js`, `signaturKopf`/`pruefeSignatur`): Kopf
+ * `X-Kasseneck-Signature: t=<unix-sekunden>,v1=<hex>` mit
+ * `v1 = HMAC-SHA256(secret, "<t>.<roher Rumpf>")`, Zeitfenster 300 Sekunden in
+ * beide Richtungen, zeitkonstanter Vergleich, mehrere `v1=`-Anteile erlaubt.
+ * Die Pruefung selbst liegt in `partner/webhook-signatur.ts` und wird hier nur
+ * mit der Form `(secret, kopf, rumpf, optionen)` angeboten.
+ *
+ * Reihenfolge im Empfaenger: **erst pruefen, dann lesen**, und dabei den
+ * **rohen** Rumpf nehmen (in Express `express.raw({ type: '*\/*' })` vor jedem
+ * JSON-Parser).
+ */
+import type { InventoryWebhookEvent } from './typen.js';
+export { WEBHOOK_SIGNATURE_HEADER, WEBHOOK_EVENT_HEADER, WEBHOOK_DELIVERY_HEADER, WEBHOOK_TOLERANCE_SEC, } from '../partner/webhook-signatur.js';
+export interface VerifyInventoryWebhookOptions {
+    /** Erlaubte Abweichung des Zeitstempels in Sekunden, in beide Richtungen; Vorgabe 300. */
+    toleranceSec?: number;
+    /** Jetzt: ein `Date` oder Millisekunden seit 1970 (wie `Date.now()`). Vorgabe: die Systemuhr. */
+    now?: Date | number;
+}
+/**
+ * Prueft die Signatur einer Zustellung. `true` nur, wenn Kopf, Zeitfenster
+ * und HMAC stimmen; jede schlechte Eingabe und jede Ausnahme ist `false`,
+ * nie ein Wurf.
+ *
+ * **Asynchron**, weil die Pruefung WebCrypto (`crypto.subtle`) benutzt: das
+ * Paket hat keine Laufzeitabhaengigkeit und laeuft auch im Browser.
+ *
+ * @param secret  das Secret aus `createWebhook`/`rotateWebhookSecret`; eine
+ *                Liste erlaubt den Wechsel (es reicht, wenn eines passt)
+ * @param header  der Wert von `X-Kasseneck-Signature`, unveraendert
+ * @param rawBody der **rohe** Rumpf (Text oder Bytes), nicht `JSON.parse` + `stringify`
+ */
+export declare function verifyInventoryWebhookSignature(secret: string | readonly string[], header: string | null | undefined, rawBody: string | Uint8Array, options?: VerifyInventoryWebhookOptions): Promise<boolean>;
+/**
+ * Liest eine Zustellung als typisiertes Ereignis. Vorher die Signatur pruefen
+ * ([verifyInventoryWebhookSignature]).
+ *
+ * - Ein Ereignis, das diese Paketversion nicht kennt (etwa `reservation.*`
+ *   einer spaeteren Stufe), ergibt `null`: mit 2xx antworten und uebergehen.
+ * - Ein Rumpf, der keine Huelle ist, oder eine Bruchzahl in einer Menge wirft
+ *   `KasseneckValidationError` (`scope: 'response'`).
+ *
+ * **Entdoppeln** auf `event.id`; **Stand statt Aenderung**: einen gespeicherten
+ * Bestand nur ueberschreiben, wenn `data.sequence` groesser ist.
+ */
+export declare function parseInventoryWebhookEvent(rawBody: string | Uint8Array): InventoryWebhookEvent | null;

package/dist/esm/inventory/webhook.js

@@ -0,0 +1,101 @@
+/**
+ * Eingehende Konto-Webhooks der Lager-API: Signatur pruefen, Ereignis lesen.
+ *
+ * Dasselbe Verfahren wie bei Partner-Webhooks (Backend
+ * `gemeinsam/webhook-core.js`, `signaturKopf`/`pruefeSignatur`): Kopf
+ * `X-Kasseneck-Signature: t=<unix-sekunden>,v1=<hex>` mit
+ * `v1 = HMAC-SHA256(secret, "<t>.<roher Rumpf>")`, Zeitfenster 300 Sekunden in
+ * beide Richtungen, zeitkonstanter Vergleich, mehrere `v1=`-Anteile erlaubt.
+ * Die Pruefung selbst liegt in `partner/webhook-signatur.ts` und wird hier nur
+ * mit der Form `(secret, kopf, rumpf, optionen)` angeboten.
+ *
+ * Reihenfolge im Empfaenger: **erst pruefen, dann lesen**, und dabei den
+ * **rohen** Rumpf nehmen (in Express `express.raw({ type: '*\/*' })` vor jedem
+ * JSON-Parser).
+ */
+import { KasseneckValidationError } from '../client/errors.js';
+import { verifyWebhookSignature as pruefeSignatur } from '../partner/webhook-signatur.js';
+import { artikel, bestandGeaendert, objekt, unterMindestbestand } from './lesen.js';
+import { INVENTORY_WEBHOOK_EVENTS } from './vertrag.js';
+export { WEBHOOK_SIGNATURE_HEADER, WEBHOOK_EVENT_HEADER, WEBHOOK_DELIVERY_HEADER, WEBHOOK_TOLERANCE_SEC, } from '../partner/webhook-signatur.js';
+/**
+ * Prueft die Signatur einer Zustellung. `true` nur, wenn Kopf, Zeitfenster
+ * und HMAC stimmen; jede schlechte Eingabe und jede Ausnahme ist `false`,
+ * nie ein Wurf.
+ *
+ * **Asynchron**, weil die Pruefung WebCrypto (`crypto.subtle`) benutzt: das
+ * Paket hat keine Laufzeitabhaengigkeit und laeuft auch im Browser.
+ *
+ * @param secret  das Secret aus `createWebhook`/`rotateWebhookSecret`; eine
+ *                Liste erlaubt den Wechsel (es reicht, wenn eines passt)
+ * @param header  der Wert von `X-Kasseneck-Signature`, unveraendert
+ * @param rawBody der **rohe** Rumpf (Text oder Bytes), nicht `JSON.parse` + `stringify`
+ */
+export async function verifyInventoryWebhookSignature(secret, header, rawBody, options = {}) {
+    try {
+        const jetzt = options.now instanceof Date ? options.now.getTime() : options.now;
+        const nowSec = typeof jetzt === 'number' && Number.isFinite(jetzt) ? Math.floor(jetzt / 1000) : undefined;
+        const r = await pruefeSignatur({
+            secret,
+            signatureHeader: header,
+            body: rawBody,
+            ...(nowSec === undefined ? {} : { nowSec }),
+            ...(options.toleranceSec === undefined ? {} : { toleranceSec: options.toleranceSec }),
+        });
+        return r.ok;
+    }
+    catch {
+        return false;
+    }
+}
+const BEKANNT = new Set(INVENTORY_WEBHOOK_EVENTS);
+function kaputt(grund) {
+    return new KasseneckValidationError('parseInventoryWebhookEvent', grund, 'response');
+}
+/**
+ * Liest eine Zustellung als typisiertes Ereignis. Vorher die Signatur pruefen
+ * ([verifyInventoryWebhookSignature]).
+ *
+ * - Ein Ereignis, das diese Paketversion nicht kennt (etwa `reservation.*`
+ *   einer spaeteren Stufe), ergibt `null`: mit 2xx antworten und uebergehen.
+ * - Ein Rumpf, der keine Huelle ist, oder eine Bruchzahl in einer Menge wirft
+ *   `KasseneckValidationError` (`scope: 'response'`).
+ *
+ * **Entdoppeln** auf `event.id`; **Stand statt Aenderung**: einen gespeicherten
+ * Bestand nur ueberschreiben, wenn `data.sequence` groesser ist.
+ */
+export function parseInventoryWebhookEvent(rawBody) {
+    const text = typeof rawBody === 'string' ? rawBody : new TextDecoder('utf-8').decode(rawBody);
+    let roh;
+    try {
+        roh = JSON.parse(text);
+    }
+    catch {
+        throw kaputt('Rumpf ist kein JSON');
+    }
+    const e = objekt(roh);
+    if (!e)
+        throw kaputt('Rumpf ist kein Ereignis (kein Objekt)');
+    const { id, type, createdAt, accountId, data } = e;
+    if (typeof id !== 'string' || id === '' || typeof type !== 'string' || type === '')
+        throw kaputt('Ereignis ohne id oder type');
+    if (typeof createdAt !== 'number' || !Number.isFinite(createdAt))
+        throw kaputt('Ereignis ohne createdAt');
+    if (typeof accountId !== 'string' || accountId === '')
+        throw kaputt('Ereignis ohne accountId');
+    if (!BEKANNT.has(type))
+        return null;
+    const ort = { name: 'parseInventoryWebhookEvent', pfad: 'data' };
+    if (!objekt(data))
+        throw kaputt('Ereignis ohne data');
+    // Nur ein ausdrueckliches `true` ist eine Probe; im Zweifel der Ernstfall.
+    const huelle = { id, type: type, createdAt, accountId, test: e.test === true };
+    switch (huelle.type) {
+        case 'stock.changed':
+            return { ...huelle, type: huelle.type, data: bestandGeaendert(ort, data) };
+        case 'stock.below_minimum':
+            return { ...huelle, type: huelle.type, data: unterMindestbestand(ort, data) };
+        default:
+            return { ...huelle, type: huelle.type, data: artikel(ort, data) };
+    }
+}

package/dist/esm/stored/vokabular.d.ts

@@ -1,5 +1,5 @@
 /** Fingerabdruck des Vertrags-Exports, aus dem diese Datei stammt (`_quelle.sha256`). */
-export declare const VOKABULAR_QUELLE = "b1049e2f65e9261cf8f729481d9ce1e5afda2cf620333f38ae6bf1afb36c8712";
+export declare const VOKABULAR_QUELLE = "79931a40ccaea45777da4713bba475c2f74e1fe7d6264f294cecd321964f9ded";
 /** Schema-Notation des Vertrags: Blatt 'aussen': 'innen', Objekt { __: 'innen', ... }, Liste [ { __: 'innen', ... } ]. */
 export type SchemaEintrag = string | SchemaObjekt | readonly [SchemaObjekt];
 export interface SchemaObjekt {

package/dist/esm/stored/vokabular.js

@@ -1,7 +1,7 @@
 // Erzeugt von scripts/stored-vokabular.mjs aus fixtures/v3/v3-vokabular.json.
 // Nicht von Hand aendern: test/stored.test.ts vergleicht mit dem Vertrag.
 /** Fingerabdruck des Vertrags-Exports, aus dem diese Datei stammt (`_quelle.sha256`). */
-export const VOKABULAR_QUELLE = "b1049e2f65e9261cf8f729481d9ce1e5afda2cf620333f38ae6bf1afb36c8712";
+export const VOKABULAR_QUELLE = "79931a40ccaea45777da4713bba475c2f74e1fe7d6264f294cecd321964f9ded";
 /** Schema je Endpunkt (aussen -> innen) und Wertverweise auf die Kataloge. */
 export const SCHEMAS = {
     "getReceipt": {

package/dist/esm/version.d.ts

@@ -4,4 +4,4 @@
  * Client-Version, Nachtrag §6). Ein Test haelt sie gleich mit `package.json`;
  * beim Anheben der Version beide Stellen aendern.
  */
-export declare const PACKAGE_VERSION = "1.3.0";
+export declare const PACKAGE_VERSION = "1.4.0";

package/dist/esm/version.js

@@ -4,4 +4,4 @@
  * Client-Version, Nachtrag §6). Ein Test haelt sie gleich mit `package.json`;
  * beim Anheben der Version beide Stellen aendern.
  */
-export const PACKAGE_VERSION = '1.3.0';
+export const PACKAGE_VERSION = '1.4.0';

package/fixtures/hobex-hps-codes.json

@@ -1,5 +1,5 @@
 {
-  "version": "1.3.0",
+  "version": "1.4.0",
   "measuredOn": {
     "tid": "3600335",
     "hpsVersion": "1.10.0",

package/fixtures/invoice-api.schema.json

@@ -2,7 +2,7 @@
   "$schema": "https://json-schema.org/draft/2020-12/schema",
   "title": "Kasseneck Rechnungs-API",
   "version": 2,
-  "package": "1.3.0",
+  "package": "1.4.0",
   "endpoints": {
     "createCustomer": {
       "request": {

package/fixtures/invoice-texts.json

@@ -1,5 +1,5 @@
 {
-  "version": "1.3.0",
+  "version": "1.4.0",
   "languages": [
     "de",
     "en"

package/fixtures/pos-texts.json

@@ -1,5 +1,5 @@
 {
-  "version": "1.3.0",
+  "version": "1.4.0",
   "messages": {
     "network.no_connection": {
       "text": "Keine Verbindung zum Server. Bitte die Internetverbindung prüfen und erneut versuchen."

package/fixtures/surface.json

@@ -1,5 +1,5 @@
 {
-  "version": "1.3.0",
+  "version": "1.4.0",
   "baseUrls": {
     "public": "https://api.kasseneck.at/v3",
     "pos": "https://kasse.kasseneck.at/api/v3"
@@ -54,7 +54,21 @@
       "stripeCaptureIntent",
       "rotatePartnerWebhookSecret",
       "updateCustomer",
-      "updatePartnerWebhook"
+      "updatePartnerWebhook",
+      "getArticle",
+      "listArticles",
+      "lookupArticleByCode",
+      "listLocations",
+      "getStock",
+      "listStock",
+      "listStockMovements",
+      "createWebhook",
+      "updateWebhook",
+      "deleteWebhook",
+      "listWebhooks",
+      "sendWebhookTest",
+      "rotateWebhookSecret",
+      "listWebhookDeliveries"
     ],
     "pos": [
       "cancelReceipt",
@@ -148,7 +162,21 @@
       "getInvoiceItem",
       "listInvoiceItems",
       "setCustomerMandate",
-      "revokeCustomerMandate"
+      "revokeCustomerMandate",
+      "getArticle",
+      "listArticles",
+      "lookupArticleByCode",
+      "listLocations",
+      "getStock",
+      "listStock",
+      "listStockMovements",
+      "createWebhook",
+      "updateWebhook",
+      "deleteWebhook",
+      "listWebhooks",
+      "sendWebhookTest",
+      "rotateWebhookSecret",
+      "listWebhookDeliveries"
     ],
     "pos": [
       "pairRegisterDevice",
@@ -927,5 +955,135 @@
       "domesticReverseCharge",
       "outsideScope"
     ]
+  },
+  "inventory": {
+    "inventoryEndpoints": [
+      "getArticle",
+      "listArticles",
+      "lookupArticleByCode",
+      "listLocations",
+      "getStock",
+      "listStock",
+      "listStockMovements",
+      "createWebhook",
+      "updateWebhook",
+      "deleteWebhook",
+      "listWebhooks",
+      "sendWebhookTest",
+      "rotateWebhookSecret",
+      "listWebhookDeliveries"
+    ],
+    "inventoryErrorCodes": [
+      "validation",
+      "invalid_cursor",
+      "article_not_found",
+      "webhook_not_found",
+      "webhook_limit",
+      "invalid_webhook_url",
+      "event_not_subscribed",
+      "webhook_inactive",
+      "inventory_api_not_enabled",
+      "module_inactive",
+      "rate_limited",
+      "server_error"
+    ],
+    "inventoryRequestErrorCodes": [
+      "account_not_found",
+      "admin_required",
+      "api_not_approved",
+      "cashregister_not_assigned",
+      "cashregister_not_found",
+      "cashregister_token_invalid",
+      "cashregister_token_missing",
+      "dialect_mismatch",
+      "internal_translation_error",
+      "live_not_enabled",
+      "method_not_allowed",
+      "mfa_required",
+      "not_found",
+      "register_user_no_business",
+      "register_user_not_allowed",
+      "register_user_not_found",
+      "response_translation_failed",
+      "session_expired",
+      "session_other_cashregister",
+      "unauthorized",
+      "user_disabled",
+      "user_verification_failed",
+      "route_missing"
+    ],
+    "inventoryWebhookEnvelopeFields": [
+      "id",
+      "type",
+      "createdAt",
+      "accountId",
+      "test",
+      "data"
+    ],
+    "inventoryWebhookEvents": [
+      "stock.changed",
+      "stock.below_minimum",
+      "article.created",
+      "article.updated",
+      "article.deactivated"
+    ],
+    "locationTypes": [
+      "warehouse",
+      "store",
+      "vehicle",
+      "other"
+    ],
+    "stockChangeCauses": [
+      "sale",
+      "invoice",
+      "credit_note",
+      "cancellation",
+      "goods_receipt",
+      "transfer",
+      "loss",
+      "condition",
+      "reversal",
+      "reservation",
+      "stocktake",
+      "takeover",
+      "other"
+    ],
+    "stockConditions": [
+      "sellable",
+      "defective"
+    ],
+    "stockMovementSources": [
+      "receipt",
+      "invoice",
+      "cancellation",
+      "credit_note",
+      "panel",
+      "register",
+      "api",
+      "stocktake",
+      "system"
+    ],
+    "stockMovementTypes": [
+      "sale",
+      "goods_receipt",
+      "loss",
+      "return",
+      "transfer_out",
+      "transfer_in",
+      "condition_out",
+      "condition_in",
+      "stocktake",
+      "adjustment",
+      "takeover",
+      "reversal",
+      "revaluation",
+      "method_change"
+    ],
+    "webhookDeliveryStatuses": [
+      "delivered",
+      "pending",
+      "failed",
+      "dropped"
+    ]
   }
 }

package/fixtures/v3/README.md

@@ -17,6 +17,7 @@ Erzeugt von Jest-Tests in zwei Codebases (jede übersetzt mit ihrem eigenen Rand
 | `functions/test/unit/v3-vertrag-export.test.js` | `v3-vokabular.json`, `antworten/belege.json`, `antworten/kasse-belege.json`, `antworten/storno.json`, `antworten/belegmail.json`, `antworten/rechnungen.json`, `stored/belege.json`, `stored/rechnungen.json`, `zahlbetrag-faelle.json` |
 | `functions/test/unit/v3-vertrag-export-kassenweg.test.js` | Teil `default` von `antworten/kasse.json` und `stored/kasse.json` (6 Beleg-Endpunkte der Kasse) |
 | `functions-kasse/test/unit/v3-vertrag-export.test.js` | Teil `kasse` derselben zwei Dateien (die übrigen 19 Kassen-Endpunkte) |
+| `functions-kasse/test/unit/v3-vertrag-export-lager.test.js` | `antworten/lager.json` (Lager-API, Stufe 5a) |
 
 Fest injiziert, damit zwei Läufe dieselben Bytes liefern: eine Uhr für alle Welten
 (26.09.2026 08:00 UTC), `crypto.randomBytes`/`randomUUID`, fortlaufende Dokument-IDs
@@ -46,6 +47,7 @@ bleiben verschieden:
 | `fullReceiptId` (auch im Text) | `000…0.000…0<8 hex>` |
 | `statusPassword`, Token in `statusUrl` (gespeichert: `public_password`, `public_token`) | `EXAM-<4 hex>`, `000…0<8 hex>` |
 | Kopplungscode (`code` bei `pairRegisterDevice`, `register_pairings/<CODE>`) | `EXMP<4 Zeichen>` (Alphabet ohne 0/1/I/O) |
+| Webhook-Secret (`secret` bei `createWebhook`/`rotateWebhookSecret`, auch im Text) | `whsec_EXAMPLE<8 hex>AAAA…` (38 Zeichen) |
 | ungültige Eingaben dieser Felder | `INVALID_EXAMPLE_<8 hex>` |
 
 In `stored/` stehen Schlüssel, Hashes und Salze als `<geheim>`. Ein Test prüft jede Datei
@@ -90,7 +92,7 @@ Code-Änderung zusammen einchecken.
     äußere Codes) und je Quelle: Rand (`edge`), Anmeldung (`auth`),
     `receiptMessages`, Kassen-Handler (`registerHandlers`, je Endpunkt in
     `registerHandlersByEndpoint`), Fälle der Kassen-Welt (`registerCases`), Storno,
-    Zahlungen, Belegmail, Rechnung, Partner. Jeder Code, der irgendwo in `antworten/`
+    Zahlungen, Belegmail, Rechnung, Partner, Lager-API (`inventory`). Jeder Code, der irgendwo in `antworten/`
     vorkommt, steht in `all` (Test).
   - `noticeCodes`: Hinweis-Codes (`notice[].code` der Rechnungs-API), keine Fehler.
   - `schemas`: je Endpunkt der Eintrag des Vokabulars (Notation außen → innen);
@@ -109,6 +111,12 @@ Code-Änderung zusammen einchecken.
   Liste, Storno, Gutschrift, Zahlung, Fehler).
 - **`antworten/kasse.json`**: alle 25 Kassen-Endpunkte unter `/api/v3`, je Fall
   (englischer Name) Methode, Aufrufer, Parameter, HTTP-Status, Kopfzeilen und Antwort.
+- **`antworten/lager.json`**: Lager-API unter `/v3` (Kanal `api`) in Ablaufreihenfolge an
+  einem Konto (Bäckerei Kornblum, Standort `haupt`): Artikel, Standorte, Bestand, Bewegungen,
+  mit und ohne Schalter `lagerApi.kosten`, Konto-Webhooks verwalten samt Fehlern
+  (`webhook_limit`, `rate_limited` der Tagesgrenze für Probesendungen …). Dazu
+  `webhookEvents`: die zugestellten Konto-Webhooks (`stock.changed`, `stock.below_minimum`,
+  `article.*`), Hülle wie gesendet.
 - **`stored/`**: die inneren Firestore-Dokumente (deutsch, ohne Geheimnisse), aus denen
   die Antworten entstanden; für `./stored` (gespeicherte Form → englisches Modell).
 - **`zahlbetrag-faelle.json`**: Rechenfälle für `receiptDueCents(items, vouchers,

package/fixtures/v3/antworten/belege.json

@@ -2,8 +2,8 @@
   "_hinweis": "Vertrags-Export /v3, erzeugt aus den echten Handlern (npm run vertrag:v3 in functions/ und functions-kasse/). Nicht von Hand pflegen.",
   "_quelle": {
     "sha256": "61892b91e6a8a0f273dcfdeb63809d92d98fb837a3c0baa782f03b29dd3b8b7a",
-    "inputsSha256": "62e0d9891baa5049aa7634f11fcfd9a44d80b2cb8da79da4fee13140ccd96c2a",
-    "backendPackage": "@kreiseck/kasseneck-api@0.31.0",
+    "inputsSha256": "4fec6d58dd069e6d980bcab1d9883380d06e6fe8ba2a5e0f05d772b7720955c2",
+    "backendPackage": "@kreiseck/kasseneck-api@0.32.2",
     "inputs": [
       "docs/api/fehlercodes.json",
       "functions-kasse/test/unit/fixtures/kassen-codes-v3.js",

package/fixtures/v3/antworten/belegmail.json

@@ -2,8 +2,8 @@
   "_hinweis": "Vertrags-Export /v3, erzeugt aus den echten Handlern (npm run vertrag:v3 in functions/ und functions-kasse/). Nicht von Hand pflegen.",
   "_quelle": {
     "sha256": "265bcf3e14cdea33ec3c4df399eb487d40c0d7793ee23d2ee12bcf664bcad550",
-    "inputsSha256": "62e0d9891baa5049aa7634f11fcfd9a44d80b2cb8da79da4fee13140ccd96c2a",
-    "backendPackage": "@kreiseck/kasseneck-api@0.31.0",
+    "inputsSha256": "4fec6d58dd069e6d980bcab1d9883380d06e6fe8ba2a5e0f05d772b7720955c2",
+    "backendPackage": "@kreiseck/kasseneck-api@0.32.2",
     "inputs": [
       "docs/api/fehlercodes.json",
       "functions-kasse/test/unit/fixtures/kassen-codes-v3.js",

package/fixtures/v3/antworten/kasse-belege.json

@@ -2,8 +2,8 @@
   "_hinweis": "Vertrags-Export /v3, erzeugt aus den echten Handlern (npm run vertrag:v3 in functions/ und functions-kasse/). Nicht von Hand pflegen.",
   "_quelle": {
     "sha256": "aad7147db385e4a6d88ba5fb59d24c04e7e1f01195778aa70ccdc68fb90adcd7",
-    "inputsSha256": "62e0d9891baa5049aa7634f11fcfd9a44d80b2cb8da79da4fee13140ccd96c2a",
-    "backendPackage": "@kreiseck/kasseneck-api@0.31.0",
+    "inputsSha256": "4fec6d58dd069e6d980bcab1d9883380d06e6fe8ba2a5e0f05d772b7720955c2",
+    "backendPackage": "@kreiseck/kasseneck-api@0.32.2",
     "inputs": [
       "docs/api/fehlercodes.json",
       "functions-kasse/test/unit/fixtures/kassen-codes-v3.js",

package/fixtures/v3/antworten/kasse.json

@@ -4,8 +4,8 @@
     "default": {
       "sha256": "bf1e7c100e328517c72d5badf31904183efe22d1fddec308e2fe2722068854bc",
       "head": [],
-      "inputsSha256": "6aae196464196c3abcfb6afed5fb78a99d8c067c79247ca442badf2471e39ddc",
-      "backendPackage": "@kreiseck/kasseneck-api@0.31.0",
+      "inputsSha256": "91fa28cc05dd8f34575b8ea622bd7e3f145bbd25a8e97ad8ecf582b9df69078d",
+      "backendPackage": "@kreiseck/kasseneck-api@0.32.2",
       "inputs": [
         "functions-kasse/test/unit/fixtures/kassen-welt.js",
         "functions/gemeinsam/api-rand.js",
@@ -24,7 +24,7 @@
         "channel",
         "note"
       ],
-      "inputsSha256": "b7483cf62e025b0c980b90d013c81c88a99f7acdeaf70f510a7554329ee19285",
+      "inputsSha256": "f8c6cfbda74bdcd5f3cc9542009698699dec89175ea233f53ee0dea8f007e043",
       "backendPackage": "@kreiseck/kasseneck-api@0.14.0",
       "inputs": [
         "functions-kasse/gemeinsam/api-rand.js",