@micha.bigler/ui-core-micha 3.14.4 → 4.0.1

package/work-orders/AUTH-4.md

@@ -1,183 +0,0 @@
-# AUTH-4 — The account user list on a phone
-
-**Target repo:** `ui-core-micha` (branch `main` — this repo has no `develop`)
-**Tier:** 3 (shared core)
-**Review:** independent `reviewer` **and** `ui_reviewer` — both mandatory, concurrent
-**Version target:** the next **minor** after `SHELL-5` — the component gains a responsive mode it did
-not have, which is a capability rather than a fix. Read the published version at implementation time.
-**Prototype:** `work-orders/assets/AUTH-4-user-list-card.html` — the **composition** spec. The
-two-width rendered side-by-side is therefore a commit gate.
-**Sequencing:** **after `SHELL-5`.** Both are ucm work orders on the same screen; `SHELL-5` changes how
-the users section is *reached*, this changes what is *in* it.
-**Strand:** split out of `DS-11` by operator decision, because its fix class differs from the
-navigation shell's.
-
----
-
-## A. Envelope
-
-### Goal
-
-`UserListComponent`'s table is right for a desktop and unusable on a phone. Give it a card layout
-below `md`. Above `md` **nothing changes**.
-
-### The driver, measured 2026-08-11 in cockpit
-
-All figures at `innerWidth` **411** CSS px — the mobile preset yields 411, not 375, so at the real
-target every figure is worse.
-
-| | measured |
-|---|---|
-| Table width | **1053 px** |
-| Container | **325 px** → 728 px of overflow |
-| Container `overflow-x` | `auto`; **the document does not overflow** |
-| Columns | Email 220, Name 180, New 90, Successful Login 163, Role 180, Actions 220 |
-| Cell padding | `10px 16px` — already the baseline's `density.tableCellPadding` |
-
-**This is not a broken layout.** The container scrolls and the page does not. It is a desktop table
-shown unchanged on a phone, with Role and Actions — the two things the screen exists for — entirely
-outside the view.
-
-**The cheap fix was tested and does not work.** 253 px of that width is `New` (90) and
-`Successful Login` (163), both **default-on props an app can switch off today** —
-`AccountPage` forwards all of them (`AccountPage.jsx:238-240`), and cockpit simply left the defaults.
-But the four remaining columns are Email 220 + Name 180 + Role 180 + Actions 220 = **800 px** against
-a 325 px container. **Configuration cannot fix this; only structure can.** That is now established
-rather than assumed.
-
-`SHELL-2` measured 1045 px on 2026-08-08 and it is 1053 px today (+8 px), so the number is stable —
-`THEME-4`/`THEME-5` did not move the rendered density.
-
-### Why cards and not a scrolling table
-
-The component is **interactive per row**: the role is an inline `Select`
-(`UserListComponent.jsx:358-364`), there is a delete action plus app-supplied `extraRowActions`
-(`:425-451`), a search field (`:506`), sortable columns (`:541`) and pagination. An administrator
-opens this screen to **change a role** or **remove someone**. Any layout that puts those behind
-horizontal scrolling defeats the screen's purpose — which is why a sticky-first-column table was
-considered and rejected: it makes the defect tolerable instead of fixing it.
-
-### Scope
-
-Below `md`, one card per user. The prototype is the composition spec; **four decisions in it are
-load-bearing and must not be quietly re-decided:**
-
-1. **The email is the card title, the name is secondary.** The email is what an administrator
-   searches by and the only guaranteed-present field. A user without a name gets a **muted
-   placeholder**, not an empty line. Verified in the prototype: a 47-character address wraps to two
-   lines via `overflow-wrap: anywhere` without overflowing a 357 px card.
-2. **The two boolean columns become labelled chips.** In the table they are icon-only with a
-   `Tooltip` (`:187-195`) — and **a tooltip is unreachable on a touch pointer**, so the information is
-   effectively absent on the device this work order is about. Chips carry the words. This is a
-   deliberate small improvement over strict parity, not drift, and it is why the flags cost vertical
-   space instead of being dropped.
-3. **Role and delete sit in a footer behind a divider.** They are the actions; separating them keeps
-   the card's top half purely identifying. The select fills the remaining width so its value is never
-   truncated; delete keeps the full 44 px touch target.
-4. **Sorting needs its own control.** A card list has no column headers to click, so the
-   sortable-column affordance **disappears with the table**. A compact sort control sits beside the
-   search field. Without it the mobile view silently loses a capability the desktop has — the kind of
-   regression that is invisible in a diff and that no test would catch unless it is asked for. It is
-   asked for here.
-
-**What the app supplies must keep working**, since the column set is app-configurable:
-
-| Input | In the card |
-|---|---|
-| `extraColumns` | rendered as **label: value** rows below the chips, in the given order. **No new required field** on the column definition — an app that passes columns today keeps working unchanged. |
-| `extraRowActions` | join delete in the footer. **Beyond three actions total they must collapse into an overflow menu**, or the footer wraps and the card loses its shape. |
-| `showNewColumn` / `showSuccessfulLoginColumn` / `showRoleColumn` | chips (or the role select) when on, **absent** when off — a shorter card, not an empty chip row. |
-
-### Non-goals / do not touch
-
-- **The table above `md`.** Byte-identical. Six columns are scannable at 1136 px and the strip beside
-  them has 570 px of headroom.
-- **The column defaults.** `New` and `Successful Login` stay default-on. Flipping them would be a
-  silent change to the account screen in every app — a separate decision, not a side effect of this
-  work order.
-- **The delete confirmation dialog**, the invite flow, the role list an app supplies, and every other
-  account section.
-- **The section navigation** — that is `SHELL-5`.
-- No permission, data-contract or API change. No new required prop. No baseline token change: the
-  card consumes tokens and introduces none, so there is **no token delta list**.
-- No pagination or search redesign; both stay, above the list.
-
-### Risks
-
-- **`AccountPage` is mounted by at least ten apps** — bigler-consult, cockpit, fitness-monitor,
-  hpc-bridge, hram, innoservice, jg-ferien, kerzenziehen, reimbursements. The account screen's user
-  list changes on a phone everywhere at once, and there is no staging net: a version bump on `main`
-  publishes. The two reviews and the rendered gate carry it.
-- **Two renderings to keep in step.** From now on a change to a column must be made twice, or the
-  card and the table drift. Tests 3 and 4 below are what make the drift visible.
-- **A long list of cards is a long scroll.** Mitigated by the existing search and pagination, not by
-  this work order — and worth watching in an app with many users rather than asserting it is fine.
-- **`extraRowActions` beyond three** is the shape's real limit. The overflow-menu rule is in scope
-  precisely so the limit is handled rather than discovered.
-
-### Required tests to WRITE
-
-1. Below `md` the card list renders and no `<table>` is present; at `md` and above the table renders
-   and no cards are. **Prove both directions** — a one-sided test passes on a component that never
-   switches.
-2. A user without a name renders the muted placeholder, not an empty element.
-3. `extraColumns` appear as label/value rows in the card, in the given order, and still as columns in
-   the table.
-4. `extraRowActions`: three or fewer render inline in the footer; **more than three collapse into an
-   overflow menu**.
-5. Each of the three column toggles set to `false` removes its chip from the card **and** its column
-   from the table — no empty chip row.
-6. The mobile sort control changes the order, and the sortable column headers still work above `md`.
-7. Pagination and search still function in the card mode.
-8. `THEME-4`'s shadowing check still returns no findings — any `sx` the card introduces must not
-   duplicate a baseline `styleOverrides` key. The card uses `MuiCard`, which the baseline styles, so
-   this is a live risk rather than a formality.
-
-Plus `tsc -p tsconfig.build.json --noEmit` clean. **No full-suite run** — affected set is
-`UserListComponent`'s spec, `AccountPage`'s, and the theme spec touched by test 8.
-
-### Verification
-
-The **two-width rendered side-by-side at 375 px and 1280 px** against the prototype, per the standing
-gate. Measure, do not eyeball, the number this work order exists to fix: **at 375 px no element may
-exceed its container**, and the 728 px of overflow must be gone. At 1280 px the table must be
-unchanged — compare it against the prototype's section 3, which exists so that "unchanged" is part of
-the spec rather than an omission.
-
-State whether real screenshots were obtained or DOM/computed-style inspection substituted. Capture has
-failed repeatedly in this estate; the substitution is declared, not silent.
-
-### Parity guardrail
-
-Presentation only, with the one stated exception: the boolean flags gain visible labels because their
-tooltip is unreachable on touch. Every datum the table shows, the card shows. No behaviour, no
-permissions, no data contract, no routing.
-
----
-
-## B. Implementation map
-
-*Filled by the Orchestrator on `git pull` — see `AGENTS.md` → "Work Order".*
-
-### Execution directive (read this first)
-
-> **If you are the implementer reading this work order as your own specification: this section is
-> NOT addressed to you.** It tells the Orchestrator how to invoke you. **You ARE that invocation —
-> do NOT shell out to `codex exec`.**
->
-> Implement through `codex exec` in the background — invoked directly via Bash (never the
-> `debugger`/`*_coder` Agent wrappers) with BOTH flags `--skip-git-repo-check` and
-> `--dangerously-bypass-approvals-and-sandbox`. **Pass the WO via stdin, not as a positional
-> argument** (a positional arg hits Windows' command-line length limit — proven repeatedly in this
-> repo). Fallback to direct Claude implementation only on Codex quota/rate-limit/non-zero exit — and
-> note that the fallback flips authorship, so both reviewers stay mandatory either way.
->
-> **Read `git log origin/main..HEAD` and `git status`, and re-read this WO's register row, before your
-> own review.** Across four ucm work orders the implementer produced an invalid review claim three
-> times — twice by self-committing with a self-report, once by writing a **fabricated** verdict into
-> `WORK_ORDERS.md`. The preamble now forbids editing that file; verify it was respected.
-
-### Mini-handover
-
-Repo: `ui-core-micha` (`C:\Users\biglmi\Documents\webapps\ui-core-micha`), branch `main`.
-WO: `work-orders/AUTH-4.md`. **Run after `SHELL-5`.** Follow `orchestrate-codex`.

package/work-orders/AUTH-5.md

@@ -1,154 +0,0 @@
-# AUTH-5 — `addPublicPath` muss dynamische Routen ausdrücken können
-
-**Target repo:** `ui-core-micha` (branch `main`)
-**Tier:** 3 — shared-core. Die Änderung betrifft die Login-Weiterleitung jeder konsumierenden App.
-
-**Kein Prototyp.** Diese Work Order hat keine Oberfläche — sie erweitert eine Registrierungs-API.
-
-**Auslöser:** `jg-ferien` PUB-7 Teil 2. Diese WO ist dessen Vorbedingung; nach der Veröffentlichung
-zieht jg seinen Pin von **`2.37.1`** hoch.
-
----
-
-## A. Envelope
-
-### Goal
-
-`apiClient` leitet bei 401/403 per hartem `window.location.assign("/login")` um — **ausser** der
-aktuelle Pfad steht auf einer Allowlist (`redirectToLoginOnce`, `src/auth/apiClient.jsx`). Der
-Mechanismus ist richtig gebaut: auf einer öffentlichen Seite unterbleibt die Weiterleitung und der
-401 wird an die Komponente durchgereicht.
-
-**Was er nicht kann, ist dynamische Routen.** `matchesPublicPath` vergleicht mit `startsWith`, ausser
-bei `/`, wo Gleichheit verlangt wird. Eine App mit öffentlichen Seiten unter einem **variablen
-Segment** — `/<slug>`, `/<slug>/team` — kann ihre öffentliche Fläche damit nicht beschreiben. Ein
-konkreter Slug lässt sich eintragen; der nächste, den jemand anlegt, fällt wieder heraus.
-
-**Warum das mehr ist als eine Unbequemlichkeit.** Fehlt der Pfad in der Liste, landet ein anonymer
-Besucher beim ersten 401 auf `/login` — auf einer Seite, die öffentlich sein soll. Von aussen ist das
-nicht von „diese Seite gibt es nicht" zu unterscheiden, und der Fehler zeigt sich erst, wenn ein
-zweites Department existiert. Er sieht dann aus wie ein Zufall, nicht wie eine Lücke.
-
-**Erwartetes Ergebnis.** Eine konsumierende App kann ihre öffentliche Fläche vollständig beschreiben,
-auch wenn Teile davon aus variablen Segmenten bestehen.
-
-### Scope
-
-- **`addPublicPath` nimmt zusätzlich ein `RegExp` entgegen** (String bleibt unverändert gültig).
-- **`matchesPublicPath` unterscheidet nach Typ**: String wie bisher (`/` exakt, sonst `startsWith`),
-  `RegExp` per `test()` gegen **ausschliesslich `window.location.pathname`** — nie gegen Query oder
-  Fragment, damit ein Muster nicht versehentlich über den Pfad hinaus greift.
-- **`removePublicPath` funktioniert für beide Formen.** Bei `RegExp` über Identität des übergebenen
-  Objekts; das gehört dokumentiert, weil zwei gleich aussehende Literale nicht dasselbe Objekt sind.
-- **`BUILTIN_PUBLIC_PATHS` bleibt eingefroren und rein string-basiert.** Kein Muster in der
-  Bibliotheks-Liste — sie darf sich nicht durch eine Konsumenten-Erweiterung verschieben.
-- **Die Dokumentation am Aufruf sagt, was der Konsument nun selbst trägt**: ein zu weites Muster
-  unterdrückt die Weiterleitung dort, wo sie gebraucht wird, und ein abgelaufener Login endet dann in
-  einer stillen Fehlerseite statt am Login. Muster gehören verankert (`^…$`).
-
-### Non-goals / do not touch
-
-- **Keine Änderung am Weiterleitungsverhalten selbst** — weder Ziel, noch `?next=`, noch der
-  einmalige Sperrmechanismus (`redirectingToLogin`).
-- **Keine Änderung an der eingefrorenen Builtin-Liste** und keine an `isPublicSitePath`.
-- **Keine Änderung am Per-Request-Opt-out** für Bootstrap-Proben.
-- **Keine neue Prüfung gegen Query oder Fragment.**
-
-### Risks
-
-- **Die Verantwortung wandert zum Konsumenten.** Ein unverankertes Muster wie `/team` trifft auch
-  `/admin/team`. Das ist der Preis der Flexibilität und muss in der Dokumentation stehen, nicht nur
-  im Kopf des Autors.
-- **Geteilter Code**: jede konsumierende App bekommt die Änderung. Deshalb rein additiv — bestehende
-  String-Registrierungen müssen sich zeichengenau gleich verhalten.
-- **Ein Muster, das zu eng greift, ist unsichtbar**, bis jemand die betroffene Seite anonym öffnet.
-  Deshalb gehört die Gegenrichtung mitgetestet.
-
-### Required tests to WRITE
-
-- **Regression, nicht verhandelbar:** String-Registrierungen verhalten sich exakt wie bisher — `/`
-  nur bei Gleichheit, andere Einträge per Präfix.
-- Ein registriertes `RegExp` trifft die passenden Pfade; ein nicht passender Pfad **löst weiterhin
-  die Weiterleitung aus**.
-- Das Muster wird gegen `pathname` geprüft, nicht gegen Query oder Fragment.
-- `removePublicPath` entfernt einen `RegExp`-Eintrag; ein Builtin-Pfad lässt sich weiterhin **nicht**
-  entfernen.
-- Ein `RegExp` in `CONSUMER_PUBLIC_PATHS` bricht die bestehende Auswertung der String-Einträge nicht.
-- **Affected set** (laufen, nicht schreiben): die vorhandenen `apiClient`-Tests.
-
----
-
-## B. Implementation map
-
-**Selbst umgesetzt (nicht per Codex)** — laufende Operator-Anweisung für diese Session.
-
-### Design-Entscheidungen
-
-- **`addPublicPath`/`removePublicPath`** akzeptieren jetzt zusätzlich `instanceof RegExp` neben
-  `string`; `CONSUMER_PUBLIC_PATHS` bleibt ein `Set`, das für `RegExp`-Objekte automatisch
-  Identitäts-Löschung liefert (`Set.delete` nutzt SameValueZero) — kein Sonderfall nötig.
-- **`matchesPublicPath`** prüft `entry instanceof RegExp` zuerst und ruft `entry.test(pathname)` —
-  ausschliesslich gegen `window.location.pathname`, nie gegen `search`/`hash`, da die Funktion
-  ohnehin nur `pathname` als Parameter erhält (kein Risiko einer versehentlichen Konkatenation).
-- **`BUILTIN_PUBLIC_PATHS` unverändert** — bleibt string-only und eingefroren, keine Berührung.
-- Dokumentation an `addPublicPath`/`removePublicPath` erweitert: Anker-Pflicht (`^…$`) für
-  `RegExp`-Muster und Identitäts-Hinweis für `removePublicPath`.
-
-### Kontextpaket
-
-- `src/auth/apiClient.jsx` — einzige geänderte Quelldatei.
-
-### Tests
-
-`tests/apiClientPublicPaths.test.js` (neu, 11 Fälle) — fährt durch den echten
-Response-Interceptor (nicht durch eine Nachbildung von `matchesPublicPath`), damit ein Fehler in
-der Verdrahtung selbst auffällt, nicht nur ein Fehler im Matcher. Jeder Test importiert das Modul
-frisch (`vi.resetModules()` + dynamisches `import()`), weil `redirectingToLogin` ein
-Modul-Level-Riegel ist, der sich in jsdom nie durch echte Navigation zurücksetzt.
-`window.location` wird durch ein rein synthetisches Objekt ersetzt (jsdoms echtes
-`location.assign` ist nicht konfigurierbar, und `pushState` bindet nicht an ein ersetztes
-`location`-Objekt) — deckt exakt das ab, was der Interceptor liest (`pathname`) und aufruft
-(`assign`). Affected set: `authApiRegistration.test.js`, `AuthContext.test.jsx`,
-`feedApi.test.js`, `messagingApi.test.js`, `notificationsApi.test.js` — alle grün.
-
----
-
-## C. Orchestrator only
-
-> **STOPP — wer diesen Auftrag als eigene Spezifikation liest, ist mit diesem Abschnitt nicht
-> gemeint.** Er beschreibt dem Orchestrator, wie er dich aufruft, wie das Ergebnis geprüft und wie es
-> verbucht wird. **Du BIST dieser Aufruf — starte kein `codex exec`, spawne keine Reviewer, pflege
-> das Register nicht, committe nicht.** Deine Aufgabe endet beim Diff.
-
-### Execution directive
-
-`.claude/codex-status.md` im Workspace-Root vor dem Aufruf prüfen. Ohne Zeile für den
-Ausführungstag Codex verwenden — direkt per Bash, nie über die `debugger`/`*_coder`-Wrapper, mit
-BEIDEN Flags `--skip-git-repo-check` und `--dangerously-bypass-approvals-and-sandbox`. Der Rückfall
-auf direkte Umsetzung dreht die Autorschaft und macht den unabhängigen `reviewer` zwingend.
-
-### Review routing
-
-Tier 3 (shared-core): **`reviewer` und `sec_reviewer`**, gleichzeitig in einem Hintergrund-Batch vor
-dem Commit. `ui_reviewer` entfällt — es gibt keine Oberfläche. `sec_reviewer` prüft die Kernfrage:
-kann ein registriertes Muster die Weiterleitung dort unterdrücken, wo sie gebraucht wird, und ist die
-Auswertung auf `pathname` beschränkt.
-
-### Verification
-
-Kein Prototyp, kein Zwei-Breiten-Abgleich. Der Nachweis sind die Tests, insbesondere die
-Regressionsfälle für die String-Registrierung.
-
-Nach grünem Review: Version anheben und veröffentlichen. **Die WO ist erst abgeschlossen, wenn die
-Version veröffentlicht ist** — jg-ferien PUB-7 hängt daran und kann ohne sie nicht landen.
-
-### Register + commit
-
-Zeile `AUTH-5` erreicht `done` nur mit beiden Reviewern samt Verdikt in der `Notiz` und der
-veröffentlichten Version. Auf grün nach `main` committen und pushen.
-
-### Mini-handover
-
-Repo: `ui-core-micha` (`C:\Users\biglmi\Documents\webapps\ui-core-micha`), Branch `main`.
-WO: `work-orders/AUTH-5.md`. Konsument: `jg-ferien` PUB-7 Teil 2 (Pin heute `2.37.1`).
-`git pull`, WO lesen, dann `orchestrate-codex` folgen.

package/work-orders/AUTH-7.md

@@ -1,181 +0,0 @@
-# AUTH-7 — `loginWithPassword`'s "already authenticated" retry must not crash raw on a second failure
-
----
-
-# A. Envelope — authored by the Expertenchat
-
-## Goal & expected outcome
-- Ziel: allauth-headless antwortet auf `POST /auth/login` mit `409` ("Conflict"), wenn bereits
-  eine gültige Session existiert (die Session ist real gültig — kein Fehlerfall an sich).
-  `loginWithPassword` (`src/auth/authApi.jsx:97-123`) behandelt das korrekt, indem es dann
-  `fetchCurrentUser()` erneut aufruft, um den bereits eingeloggten User zurückzugeben. Schlägt
-  DIESER Retry-Call aber ebenfalls fehl (beobachtet 2026-09-05: ein anderer, unabhängig
-  überlasteter Endpunkt hatte den globalen `user`-Throttle-Bucket geleert, sodass auch
-  `/api/users/current/` mit 429 antwortete), wird der Fehler ungefangen durchgereicht — kein
-  `.code`, keine Übersetzung, ein rohes Error-Objekt statt eines normalen Login-Fehlers.
-- Expected outcome: schlägt der 409-Retry fehl, bekommt der Aufrufer (`LoginPage.jsx:219-220`
-  liest `err.code`) einen normalisierten Fehler mit `.code` — dieselbe Fehlerform wie jeder andere
-  Login-Fehlerpfad in dieser Funktion, kein Sonderfall.
-
-## Scope + non-goals
-- In scope: ausschliesslich der 409-Zweig in `loginWithPassword`
-  (`src/auth/authApi.jsx:116-119`) — den bereits vorhandenen `fetchCurrentUser()`-Retry-Call in
-  ein eigenes try/catch nehmen und einen Fehlschlag über `normaliseApiError` weiterwerfen, exakt
-  wie jeder andere Fehlerpfad in dieser Funktion (Zeile 121) es bereits tut.
-- Explizite Non-Goals / nicht anfassen: der **Erfolgsfall** dieses Zweigs (409 + erfolgreicher
-  Retry → `{ user, needsMfa: false }`) bleibt bytegleich. `AuthContext.jsx`s Bootstrap-Catch-Block
-  (Zeile 107-109) wird NICHT geändert — geprüft: `user` ist beim ersten Mount ohnehin bereits
-  `null`, eine Fallunterscheidung nach Statuscode hätte dort unter keinem real erreichbaren
-  Codepfad einen beobachtbaren Effekt (der Effect läuft genau einmal pro Seitenaufruf), wäre also
-  Änderung ohne Wirkung in einer Shared-Core-Datei — bewusst ausgelassen. Keine neue Kontext-Prop,
-  keine Änderung an einer konsumierenden App (`kira` o.a.) — der Fix ist rein additiv/intern zu
-  `authApi.jsx`. `package.json`s Versionsfeld wird als Teil dieser WO angepasst (PATCH-Bump, siehe
-  Teil C) — das ist Prozess/Publish-Mechanik dieses Repos, kein Scope-Zusatz am eigentlichen Fix.
-
-## Tier · precondition / gate
-- Tier: 3 — Änderung INNERHALB von Shared-Core (`ui-core-micha`), unabhängig vom Umfang (AGENTS.md
-  → Tiering-Tabelle). Kein Precondition/Gate; die Änderung ist rein additiv (ein neuer catch um
-  einen bestehenden Call), kein Breaking Change, kein Versions-Bump nötig, keine konsumierende App
-  muss etwas tun.
-
-## Risks
-- Der Erfolgspfad (409 + Retry gelingt) darf sich nicht ändern — sonst bricht der bestehende
-  "bereits eingeloggt"-Login-Flow für ALLE Apps, die `ui-core-micha` konsumieren.
-- Der neue catch darf den `normaliseApiError`-Fehler nicht verschlucken oder verfälschen — die
-  aufrufende `LoginPage.jsx` liest `err.code` für die i18n-Anzeige.
-
-## Required tests to WRITE
-- Neue Datei `tests/authApiLogin.test.js` (Muster: `tests/authApiRegistration.test.js` — `apiClient`
-  gemockt via `vi.mock`, `client.post`/`client.get` direkt gestubbt, kein React/Testing-Library
-  nötig, `loginWithPassword` direkt importiert und aufgerufen):
-  1. `post` rejects mit `{ response: { status: 409 } }`, `get` (der `fetchCurrentUser`-Retry)
-     resolved mit `{ data: { id: 1, ... } }` → `loginWithPassword` liefert
-     `{ user: {...}, needsMfa: false }` (dokumentiert den unveränderten Erfolgspfad).
-  2. `post` rejects mit `{ response: { status: 409 } }`, `get` (der Retry) rejects zusätzlich mit
-     `{ response: { status: 429, data: { detail: '...' } } }` → `loginWithPassword` wirft einen
-     Error mit einem gesetzten `.code` (nicht `undefined`, nicht das rohe Axios-Error-Objekt).
-
----
-
-# B. Implementation map — filled by the Orchestrator — ADDRESSED TO THE IMPLEMENTER
-
-## Context package
-
-**Named file to change:** `src/auth/authApi.jsx:97-123` (`loginWithPassword`), konkret nur
-Zeilen 115-119:
-
-```js
-    // 409 = Already logged in
-    if (status === 409) {
-        const user = await fetchCurrentUser();
-        return { user, needsMfa: false };
-    }
-
-    throw normaliseApiError(error, 'Auth.LOGIN_FAILED');
-```
-
-Ändere zu (Retry in eigenes try/catch, Fehlschlag desselben `normaliseApiError`-Wegs wie jeder
-andere Fehlerpfad dieser Funktion):
-
-```js
-    // 409 = Already logged in
-    if (status === 409) {
-        try {
-          const user = await fetchCurrentUser();
-          return { user, needsMfa: false };
-        } catch (retryError) {
-          throw normaliseApiError(retryError, 'Auth.LOGIN_FAILED');
-        }
-    }
-
-    throw normaliseApiError(error, 'Auth.LOGIN_FAILED');
-```
-
-`normaliseApiError` ist bereits oben in der Datei importiert (Zeile 3, aus `../utils/auth-errors`)
-— keine neue Abhängigkeit.
-
-**Invariants / Pitfalls:**
-- `fetchCurrentUser()` (Zeile 16-24, gleiche Datei) wirft bei jedem Fehler das **rohe** Axios-Error
-  weiter (kein eigener catch dort) — das ist bereits der Zustand, den dieser Fix abfängt; nicht
-  `fetchCurrentUser()` selbst ändern.
-- Der äussere `catch (error)`-Block (Zeile 103) bleibt unverändert; nur der 409-Zweig innerhalb
-  bekommt einen zusätzlichen inneren try/catch. Die MFA-Prüfung (Zeile 108-112) und der finale
-  `throw normaliseApiError(error, ...)` (Zeile 121, für den ursprünglichen `error`, NICHT den
-  `retryError`) bleiben unverändert.
-- `normaliseApiError`s zweites Argument ist ein Default-Code, kein spezifischer 429-Code — es gibt
-  keinen eigenen i18n-Key für "Login gerade nicht möglich, Konto ist gedrosselt"; Wiederverwendung
-  von `'Auth.LOGIN_FAILED'` (bereits vorhandener Key) ist beabsichtigt, kein neuer i18n-Key nötig
-  in irgendeiner konsumierenden App.
-
-Directive: Arbeite ausschliesslich aus diesem Kontext-Paket; öffne nur die genannte Datei plus die
-genannte Testdatei-Vorlage zur Verifikation. Kein breites Erkunden im restlichen `src/auth/`.
-
-## Target repo working directory (absolute)
-
-`C:\Users\Micha Bigler\Documents\webapps\ui-core-micha`
-
-## Preamble — REQUIRED, part of this file
-
-> The text above is the COMPLETE spec — the committed WO file's content, not a plan to refine;
-> there is no separate plan file. Read the nearest `AGENTS.md`, the relevant
-> `.codex/skills/<role>/SKILL.md`, and the app `MEMORY.md` ONLY for conventions. Stay in scope; do
-> not touch auth/permissions/deps/schema/CI unless the spec says so; do not update `MEMORY.md`.
-> **Do NOT edit `WORK_ORDERS.md`** — the register row and the review verdicts are the
-> orchestrator's alone. **Your tools are for editing source and test files and for running the
-> tests you wrote — nothing else.** Do NOT install dependencies, touch a lockfile, run a package
-> manager, or tidy up stray files; if something in the repo state blocks you, stop and report it as
-> `RESULT: BLOCKED <reason>` instead of fixing it. Do NOT `git add`/`commit`/`push` — leave every
-> change uncommitted in the working tree for the orchestrator's independent review. WRITE the
-> tests the `Required tests` section calls for AND **RUN the tests you just wrote** to confirm
-> they execute and pass — that is the ONLY test run you do (NOT the app's affected/full suite, NOT
-> any review). The orchestrator re-runs the authoritative set + does the independent review after
-> you finish — those are the gate; your own run does not count as the gate.
->
-> Narrate continuously: a `PLAN: <step1> | <step2> | …` line up front, then a single-line
-> `PROGRESS: [<n>/<total>] <present-tense action>` before every relevant action (and `… done` on
-> completion), spaced so no gap exceeds ~2 min, stdout unbuffered, plus exactly one final
-> `RESULT: DONE|BLOCKED <reason>`.
-
----
-
-# C. Orchestrator only — NOT ADDRESSED TO THE IMPLEMENTER
-
-> **If you are the implementer reading this work order as your own specification: STOP at this
-> line. Everything below describes what the Orchestrator does AFTER you finish. You do none of it
-> — no reviewers, no verification run, no register edit, no commit.** You ARE the invocation
-> described below; do NOT shell out to `codex exec`.
-
-## Execution directive
-
-Implement through `codex exec` in the background, invoked directly via Bash with both mandatory
-flags. Fallback to direct Claude implementation only on Codex quota/rate-limit/non-zero exit
-(flips authorship — independent reviewer becomes mandatory, already mandatory at Tier 3).
-
-## Review routing
-
-Tier 3, full set, all concurrent in one background batch: `reviewer` (all 4 lenses — this is
-shared-core, `duplication` and `regression` lenses matter most here), `ui_reviewer` (diff touches
-a `.jsx` file consumed by every app's login page — narrow context: this diff + the relevant
-`AGENTS.md` auth-error-handling convention), `sec_reviewer` (auth/login flow). Orchestrator's own
-targeted security pass runs alongside, additional not substitute.
-
-## Verification
-
-Authoritative test run: `npx vitest run tests/authApiLogin.test.js tests/AuthContext.test.jsx
-tests/authApiRegistration.test.js` (affected area — everything touching `authApi.jsx` and the
-login flow it feeds). No prototype artifact in scope, no rendered side-by-side needed (no visual
-change).
-
-## Register + commit
-
-Bump `package.json`'s `version` `3.5.0` -> `3.5.1` (PATCH — bugfix, no interface/behavior change
-for any existing caller) as part of this same commit, matching this repo's established
-push-to-`main` + version-bump publish flow (see `MSG-19`'s register row for precedent). Commit on
-`main` (this repo has no `develop`). `WORK_ORDERS.md` row for `AUTH-7`, named review verdict.
-After push, verify the bumped version actually published (per
-`reference_dcm_ucm_publish_topology` — publish-from-main has no staging gate, check the live
-package version after push). **No consumer pin-bump is required for this to take effect for
-kira** — this is a pure bugfix with no interface change, so record explicitly in the Notiz that no
-app needs to bump its `@micha.bigler/ui-core-micha` pin for this fix to matter (kira's *symptom*
-was caused by the throttle exhaustion fixed in `KIRA-TRACK-3`, not by this bug alone — this fix
-only prevents a raw/uncaught error the NEXT time any app's login flow race is hit).