@xiwebdesign/xicms-core 6.4.7 → 7.0.0

package/dist/schema/siteConfig.js

@@ -1,27 +1,27 @@
-import { z } from "zod";
-import { NavItemSchema, ThemeSchema, FormsSenderSchema, ModulesSettingsSchema } from "./settings";
-import { SeoSchema } from "./seo";
+import * as z from "zod/mini";
+import { NavItemSchema, ThemeSchema, FormsSenderSchema, ModulesSettingsSchema } from "./settings.js";
+import { SeoSchema } from "./seo.js";
 function defineSiteConfig(config) {
   return config;
 }
-const SiteConfigSchema = z.object({
-  siteId: z.string().min(1).max(64).regex(/^[a-z0-9][a-z0-9-]*$/, "gebruik kleine letters/cijfers/koppeltekens (bv. 'bakkerij-jansen')"),
-  name: z.string().min(1).max(160),
+const SiteConfigSchema = z.looseObject({
+  siteId: z.string().check(z.minLength(1)).check(z.maxLength(64)).check(z.regex(/^[a-z0-9][a-z0-9-]*$/, "gebruik kleine letters/cijfers/koppeltekens (bv. 'bakkerij-jansen')")),
+  name: z.string().check(z.minLength(1)).check(z.maxLength(160)),
   // Alleen een hostname (www.klant.nl) — géén protocol/pad: "https://…/x" glipte er eerst
   // doorheen en werd maar half genormaliseerd in siteOrigin/buildMetadata.
-  domain: z.string().max(255).regex(/^[a-z0-9]([a-z0-9-]*[a-z0-9])?(\.[a-z0-9]([a-z0-9-]*[a-z0-9])?)+$/i, "alleen een hostname, bv. 'www.klant.nl' (zonder https:// of pad)").optional().or(z.literal("")),
+  domain: z.union([z.optional(z.string().check(z.maxLength(255)).check(z.regex(/^[a-z0-9]([a-z0-9-]*[a-z0-9])?(\.[a-z0-9]([a-z0-9-]*[a-z0-9])?)+$/i, "alleen een hostname, bv. 'www.klant.nl' (zonder https:// of pad)"))), z.literal("")]),
   mode: z.enum(["demo", "live"]),
-  demoEditing: z.boolean().optional(),
-  lang: z.string().max(10).optional(),
-  locales: z.array(z.string().min(2).max(10)).max(10).optional(),
-  defaultLocale: z.string().min(2).max(10).optional(),
+  demoEditing: z.optional(z.boolean()),
+  lang: z.optional(z.string().check(z.maxLength(10))),
+  locales: z.optional(z.array(z.string().check(z.minLength(2)).check(z.maxLength(10))).check(z.maxLength(10))),
+  defaultLocale: z.optional(z.string().check(z.minLength(2)).check(z.maxLength(10))),
   theme: ThemeSchema,
-  nav: z.array(NavItemSchema).max(50).optional(),
-  contactEmail: z.string().email().optional(),
-  seoDefaults: SeoSchema.optional(),
-  forms: FormsSenderSchema.optional(),
-  modules: ModulesSettingsSchema.optional()
-}).passthrough();
+  nav: z.optional(z.array(NavItemSchema).check(z.maxLength(50))),
+  contactEmail: z.optional(z.email()),
+  seoDefaults: z.optional(SeoSchema),
+  forms: z.optional(FormsSenderSchema),
+  modules: z.optional(ModulesSettingsSchema)
+});
 function validateSiteConfig(config) {
   const res = SiteConfigSchema.safeParse(config);
   if (res.success) return [];

package/dist/schema/siteConfig.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../../src/schema/siteConfig.ts"],"sourcesContent":["/**\n * SiteConfig — de statische basisconfig in een klantrepo (`content/site.config.ts`).\n * Dit is de fallback/identiteit van de site; bewerkbare instellingen kunnen in Firebase\n * (`sites/{siteId}/settings/site`) staan en deze waarden overschrijven.\n *\n * `@xiwebdesign/xicms-core` bevat hier nooit klantgegevens — die staan in de klantrepo.\n */\nimport { z } from \"zod\";\nimport { NavItemSchema, ThemeSchema, FormsSenderSchema, ModulesSettingsSchema, type NavItem, type ThemeTokens, type FormsSender } from \"./settings\";\nimport { SeoSchema, type Seo } from \"./seo\";\nimport type { ModulesSiteConfig } from \"../modules/types\";\n\nexport type SiteMode = \"demo\" | \"live\";\n\nexport interface SiteConfig {\n  /** Uniek tenant-id; bepaalt het pad `sites/{siteId}/...` in Firebase. */\n  siteId: string;\n  /** Weergavenaam van het bedrijf. */\n  name: string;\n  /** Productiedomein, bv. \"www.bakkerijjansen.nl\". */\n  domain?: string;\n  /** \"demo\" toont de lock/CTA; \"live\" is de productiestand. */\n  mode: SiteMode;\n  /**\n   * Demo-bewerkmodus: toont een pseudo-login zodat bezoekers het beheer (teksten + blokken) kunnen\n   * uitproberen. Alle \"bewerkingen\" blijven UITSLUITEND lokaal in de browser (localStorage) — er gaat\n   * niets naar Firebase. Alleen bedoeld voor een demo-site; laat dit `false`/weg op echte klantsites.\n   */\n  demoEditing?: boolean;\n  /** Taalcode voor `<html lang>` en a11y (default \"nl\"). */\n  lang?: string;\n  /**\n   * Extra talen naast de default (5.0), bv. `[\"de\", \"en\"]`. Vertalingen leven als overlay op\n   * pagina's/symbolen; niet-default talen krijgen een URL-prefix (`/de/over-ons`). Weglaten =\n   * ééntalige site (geen overhead).\n   */\n  locales?: string[];\n  /** Default-taal van de canonieke content (default: `lang` ?? \"nl\"). */\n  defaultLocale?: string;\n  /** Huisstijl. */\n  theme: ThemeTokens;\n  /** Hoofdnavigatie. */\n  nav?: NavItem[];\n  /** Contact-e-mailadres voor de demo-CTA en formulieren. */\n  contactEmail?: string;\n  /** Standaard-SEO als een pagina niets opgeeft. */\n  seoDefaults?: Seo;\n  /** Afzender-instelling voor formulier-e-mail (fallback voor settings/site). */\n  forms?: FormsSender;\n  /**\n   * Modules per site aan/uit zetten en configureren (XiCMS 3.0). Een uitgezette module verbergt\n   * zowel zijn blocks als zijn beheer-paneel. Per module kun je ook `config` meegeven (gevalideerd\n   * tegen het `settingsSchema` van de module) zodat de agent gedrag instelt zonder core te forken:\n   *\n   *   modules: {\n   *     gallery: { enabled: true, config: { lightbox: true, columns: 3 } },\n   *     stats: false,\n   *   }\n   *\n   * Afwezig = de standaard van de module (`defaultEnabled`, doorgaans aan).\n   */\n  modules?: ModulesSiteConfig;\n}\n\n/** Helper met type-inferentie voor `site.config.ts`. */\nexport function defineSiteConfig(config: SiteConfig): SiteConfig {\n  return config;\n}\n\n/**\n * Runtime-spiegel van de `SiteConfig`-interface. TypeScript vangt fouten bij compileren, maar een\n * (agent-)geschreven `site.config.ts` kan alsnog ongeldige waarden bevatten (verkeerd siteId-formaat,\n * te lange strings, kapotte nav-items). `.passthrough()` zodat extra klant-velden nooit een fout zijn.\n */\nexport const SiteConfigSchema = z\n  .object({\n    siteId: z\n      .string()\n      .min(1)\n      .max(64)\n      .regex(/^[a-z0-9][a-z0-9-]*$/, \"gebruik kleine letters/cijfers/koppeltekens (bv. 'bakkerij-jansen')\"),\n    name: z.string().min(1).max(160),\n    // Alleen een hostname (www.klant.nl) — géén protocol/pad: \"https://…/x\" glipte er eerst\n    // doorheen en werd maar half genormaliseerd in siteOrigin/buildMetadata.\n    domain: z\n      .string()\n      .max(255)\n      .regex(/^[a-z0-9]([a-z0-9-]*[a-z0-9])?(\\.[a-z0-9]([a-z0-9-]*[a-z0-9])?)+$/i, \"alleen een hostname, bv. 'www.klant.nl' (zonder https:// of pad)\")\n      .optional()\n      .or(z.literal(\"\")),\n    mode: z.enum([\"demo\", \"live\"]),\n    demoEditing: z.boolean().optional(),\n    lang: z.string().max(10).optional(),\n    locales: z.array(z.string().min(2).max(10)).max(10).optional(),\n    defaultLocale: z.string().min(2).max(10).optional(),\n    theme: ThemeSchema,\n    nav: z.array(NavItemSchema).max(50).optional(),\n    contactEmail: z.string().email().optional(),\n    seoDefaults: SeoSchema.optional(),\n    forms: FormsSenderSchema.optional(),\n    modules: ModulesSettingsSchema.optional(),\n  })\n  .passthrough();\n\n/**\n * Valideert een SiteConfig en geeft leesbare issues terug (leeg = geldig). Wordt in development\n * door de provider aangeroepen zodat een agent config-fouten direct in de console ziet, in plaats\n * van een subtiel kapotte site. Gooit bewust niet — een issue mag een site nooit platleggen.\n */\nexport function validateSiteConfig(config: unknown): string[] {\n  const res = SiteConfigSchema.safeParse(config);\n  if (res.success) return [];\n  return res.error.issues.map((i) => `${i.path.join(\".\") || \"(root)\"}: ${i.message}`);\n}\n"],"mappings":"AAOA,SAAS,SAAS;AAClB,SAAS,eAAe,aAAa,mBAAmB,6BAA+E;AACvI,SAAS,iBAA2B;AAwD7B,SAAS,iBAAiB,QAAgC;AAC/D,SAAO;AACT;AAOO,MAAM,mBAAmB,EAC7B,OAAO;AAAA,EACN,QAAQ,EACL,OAAO,EACP,IAAI,CAAC,EACL,IAAI,EAAE,EACN,MAAM,wBAAwB,qEAAqE;AAAA,EACtG,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,EAAE,IAAI,GAAG;AAAA;AAAA;AAAA,EAG/B,QAAQ,EACL,OAAO,EACP,IAAI,GAAG,EACP,MAAM,sEAAsE,kEAAkE,EAC9I,SAAS,EACT,GAAG,EAAE,QAAQ,EAAE,CAAC;AAAA,EACnB,MAAM,EAAE,KAAK,CAAC,QAAQ,MAAM,CAAC;AAAA,EAC7B,aAAa,EAAE,QAAQ,EAAE,SAAS;AAAA,EAClC,MAAM,EAAE,OAAO,EAAE,IAAI,EAAE,EAAE,SAAS;AAAA,EAClC,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,EAAE,IAAI,EAAE,CAAC,EAAE,IAAI,EAAE,EAAE,SAAS;AAAA,EAC7D,eAAe,EAAE,OAAO,EAAE,IAAI,CAAC,EAAE,IAAI,EAAE,EAAE,SAAS;AAAA,EAClD,OAAO;AAAA,EACP,KAAK,EAAE,MAAM,aAAa,EAAE,IAAI,EAAE,EAAE,SAAS;AAAA,EAC7C,cAAc,EAAE,OAAO,EAAE,MAAM,EAAE,SAAS;AAAA,EAC1C,aAAa,UAAU,SAAS;AAAA,EAChC,OAAO,kBAAkB,SAAS;AAAA,EAClC,SAAS,sBAAsB,SAAS;AAC1C,CAAC,EACA,YAAY;AAOR,SAAS,mBAAmB,QAA2B;AAC5D,QAAM,MAAM,iBAAiB,UAAU,MAAM;AAC7C,MAAI,IAAI,QAAS,QAAO,CAAC;AACzB,SAAO,IAAI,MAAM,OAAO,IAAI,CAAC,MAAM,GAAG,EAAE,KAAK,KAAK,GAAG,KAAK,QAAQ,KAAK,EAAE,OAAO,EAAE;AACpF;","names":[]}
+{"version":3,"sources":["../../src/schema/siteConfig.ts"],"sourcesContent":["/**\n * SiteConfig — de statische basisconfig in een klantrepo (`content/site.config.ts`).\n * Dit is de fallback/identiteit van de site; bewerkbare instellingen kunnen in Firebase\n * (`sites/{siteId}/settings/site`) staan en deze waarden overschrijven.\n *\n * `@xiwebdesign/xicms-core` bevat hier nooit klantgegevens — die staan in de klantrepo.\n */\nimport * as z from \"zod/mini\";\nimport { NavItemSchema, ThemeSchema, FormsSenderSchema, ModulesSettingsSchema, type NavItem, type ThemeTokens, type FormsSender } from \"./settings\";\nimport { SeoSchema, type Seo } from \"./seo\";\nimport type { ModulesSiteConfig } from \"../modules/types\";\n\nexport type SiteMode = \"demo\" | \"live\";\n\nexport interface SiteConfig {\n  /** Uniek tenant-id; bepaalt het pad `sites/{siteId}/...` in Firebase. */\n  siteId: string;\n  /** Weergavenaam van het bedrijf. */\n  name: string;\n  /** Productiedomein, bv. \"www.bakkerijjansen.nl\". */\n  domain?: string;\n  /** \"demo\" toont de lock/CTA; \"live\" is de productiestand. */\n  mode: SiteMode;\n  /**\n   * Demo-bewerkmodus: toont een pseudo-login zodat bezoekers het beheer (teksten + blokken) kunnen\n   * uitproberen. Alle \"bewerkingen\" blijven UITSLUITEND lokaal in de browser (localStorage) — er gaat\n   * niets naar Firebase. Alleen bedoeld voor een demo-site; laat dit `false`/weg op echte klantsites.\n   */\n  demoEditing?: boolean;\n  /** Taalcode voor `<html lang>` en a11y (default \"nl\"). */\n  lang?: string;\n  /**\n   * Extra talen naast de default (5.0), bv. `[\"de\", \"en\"]`. Vertalingen leven als overlay op\n   * pagina's/symbolen; niet-default talen krijgen een URL-prefix (`/de/over-ons`). Weglaten =\n   * ééntalige site (geen overhead).\n   */\n  locales?: string[];\n  /** Default-taal van de canonieke content (default: `lang` ?? \"nl\"). */\n  defaultLocale?: string;\n  /** Huisstijl. */\n  theme: ThemeTokens;\n  /** Hoofdnavigatie. */\n  nav?: NavItem[];\n  /** Contact-e-mailadres voor de demo-CTA en formulieren. */\n  contactEmail?: string;\n  /** Standaard-SEO als een pagina niets opgeeft. */\n  seoDefaults?: Seo;\n  /** Afzender-instelling voor formulier-e-mail (fallback voor settings/site). */\n  forms?: FormsSender;\n  /**\n   * Modules per site aan/uit zetten en configureren (XiCMS 3.0). Een uitgezette module verbergt\n   * zowel zijn blocks als zijn beheer-paneel. Per module kun je ook `config` meegeven (gevalideerd\n   * tegen het `settingsSchema` van de module) zodat de agent gedrag instelt zonder core te forken:\n   *\n   *   modules: {\n   *     gallery: { enabled: true, config: { lightbox: true, columns: 3 } },\n   *     stats: false,\n   *   }\n   *\n   * Afwezig = de standaard van de module (`defaultEnabled`, doorgaans aan).\n   */\n  modules?: ModulesSiteConfig;\n}\n\n/** Helper met type-inferentie voor `site.config.ts`. */\nexport function defineSiteConfig(config: SiteConfig): SiteConfig {\n  return config;\n}\n\n/**\n * Runtime-spiegel van de `SiteConfig`-interface. TypeScript vangt fouten bij compileren, maar een\n * (agent-)geschreven `site.config.ts` kan alsnog ongeldige waarden bevatten (verkeerd siteId-formaat,\n * te lange strings, kapotte nav-items). `.passthrough()` zodat extra klant-velden nooit een fout zijn.\n */\nexport const SiteConfigSchema = z.looseObject({\n    siteId: z.string().check(z.minLength(1)).check(z.maxLength(64)).check(z.regex(/^[a-z0-9][a-z0-9-]*$/, \"gebruik kleine letters/cijfers/koppeltekens (bv. 'bakkerij-jansen')\")),\n    name: z.string().check(z.minLength(1)).check(z.maxLength(160)),\n    // Alleen een hostname (www.klant.nl) — géén protocol/pad: \"https://…/x\" glipte er eerst\n    // doorheen en werd maar half genormaliseerd in siteOrigin/buildMetadata.\n    domain: z.union([z.optional(z.string().check(z.maxLength(255)).check(z.regex(/^[a-z0-9]([a-z0-9-]*[a-z0-9])?(\\.[a-z0-9]([a-z0-9-]*[a-z0-9])?)+$/i, \"alleen een hostname, bv. 'www.klant.nl' (zonder https:// of pad)\"))), z.literal(\"\")]),\n    mode: z.enum([\"demo\", \"live\"]),\n    demoEditing: z.optional(z.boolean()),\n    lang: z.optional(z.string().check(z.maxLength(10))),\n    locales: z.optional(z.array(z.string().check(z.minLength(2)).check(z.maxLength(10))).check(z.maxLength(10))),\n    defaultLocale: z.optional(z.string().check(z.minLength(2)).check(z.maxLength(10))),\n    theme: ThemeSchema,\n    nav: z.optional(z.array(NavItemSchema).check(z.maxLength(50))),\n    contactEmail: z.optional(z.email()),\n    seoDefaults: z.optional(SeoSchema),\n    forms: z.optional(FormsSenderSchema),\n    modules: z.optional(ModulesSettingsSchema),\n  });\n\n/**\n * Valideert een SiteConfig en geeft leesbare issues terug (leeg = geldig). Wordt in development\n * door de provider aangeroepen zodat een agent config-fouten direct in de console ziet, in plaats\n * van een subtiel kapotte site. Gooit bewust niet — een issue mag een site nooit platleggen.\n */\nexport function validateSiteConfig(config: unknown): string[] {\n  const res = SiteConfigSchema.safeParse(config);\n  if (res.success) return [];\n  return res.error.issues.map((i) => `${i.path.join(\".\") || \"(root)\"}: ${i.message}`);\n}\n"],"mappings":"AAOA,YAAY,OAAO;AACnB,SAAS,eAAe,aAAa,mBAAmB,6BAA+E;AACvI,SAAS,iBAA2B;AAwD7B,SAAS,iBAAiB,QAAgC;AAC/D,SAAO;AACT;AAOO,MAAM,mBAAmB,EAAE,YAAY;AAAA,EAC1C,QAAQ,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,EAAE,MAAM,EAAE,MAAM,wBAAwB,qEAAqE,CAAC;AAAA,EAC5K,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,EAAE,MAAM,EAAE,UAAU,GAAG,CAAC;AAAA;AAAA;AAAA,EAG7D,QAAQ,EAAE,MAAM,CAAC,EAAE,SAAS,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,GAAG,CAAC,EAAE,MAAM,EAAE,MAAM,sEAAsE,kEAAkE,CAAC,CAAC,GAAG,EAAE,QAAQ,EAAE,CAAC,CAAC;AAAA,EACxO,MAAM,EAAE,KAAK,CAAC,QAAQ,MAAM,CAAC;AAAA,EAC7B,aAAa,EAAE,SAAS,EAAE,QAAQ,CAAC;AAAA,EACnC,MAAM,EAAE,SAAS,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,CAAC;AAAA,EAClD,SAAS,EAAE,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,CAAC,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,CAAC;AAAA,EAC3G,eAAe,EAAE,SAAS,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,CAAC;AAAA,EACjF,OAAO;AAAA,EACP,KAAK,EAAE,SAAS,EAAE,MAAM,aAAa,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,CAAC;AAAA,EAC7D,cAAc,EAAE,SAAS,EAAE,MAAM,CAAC;AAAA,EAClC,aAAa,EAAE,SAAS,SAAS;AAAA,EACjC,OAAO,EAAE,SAAS,iBAAiB;AAAA,EACnC,SAAS,EAAE,SAAS,qBAAqB;AAC3C,CAAC;AAOI,SAAS,mBAAmB,QAA2B;AAC5D,QAAM,MAAM,iBAAiB,UAAU,MAAM;AAC7C,MAAI,IAAI,QAAS,QAAO,CAAC;AACzB,SAAO,IAAI,MAAM,OAAO,IAAI,CAAC,MAAM,GAAG,EAAE,KAAK,KAAK,GAAG,KAAK,QAAQ,KAAK,EAAE,OAAO,EAAE;AACpF;","names":[]}

package/dist/schema/symbols.d.ts

@@ -8,197 +8,40 @@
  * renderen), schrijven alleen via de `saveSymbol`-callable (sanitize + validatie + audit).
  * Een symbol mag GEEN symbolRef bevatten (geen recursie) — afgedwongen in schema én callable.
  */
-import { z } from "zod";
-export declare const SymbolSchema: z.ZodObject<{
-    name: z.ZodString;
-    /** De blok-compositie van het symbol (zelfde vorm als page.blocks). */
-    blocks: z.ZodEffects<z.ZodDefault<z.ZodArray<z.ZodObject<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, "passthrough", z.ZodTypeAny, z.objectOutputType<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, z.ZodTypeAny, "passthrough">, z.objectInputType<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, z.ZodTypeAny, "passthrough">>, "many">>, z.objectOutputType<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, z.ZodTypeAny, "passthrough">[], z.objectInputType<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, z.ZodTypeAny, "passthrough">[] | undefined>;
-    /** Taal-overlay (5.0): per locale gepunte veldpaden → vertaalde tekst (zie i18n/overlay.ts). */
-    translations: z.ZodOptional<z.ZodRecord<z.ZodString, z.ZodEffects<z.ZodRecord<z.ZodString, z.ZodString>, Record<string, string>, Record<string, string>>>>;
-}, "strip", z.ZodTypeAny, {
-    name: string;
-    blocks: z.objectOutputType<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, z.ZodTypeAny, "passthrough">[];
-    translations?: Record<string, Record<string, string>> | undefined;
-}, {
-    name: string;
-    blocks?: z.objectInputType<{
-        _type: z.ZodString;
-        _key: z.ZodString;
-        _style: z.ZodOptional<z.ZodObject<{
-            paddingY: z.ZodOptional<z.ZodEnum<["none", "sm", "md", "lg", "xl"]>>;
-            background: z.ZodOptional<z.ZodString>;
-            width: z.ZodOptional<z.ZodEnum<["container", "full", "narrow"]>>;
-            align: z.ZodOptional<z.ZodEnum<["left", "center", "right"]>>;
-            anchorId: z.ZodOptional<z.ZodString>;
-            animate: z.ZodOptional<z.ZodEnum<["fade", "up"]>>;
-        }, "strip", z.ZodTypeAny, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }, {
-            paddingY?: "none" | "sm" | "md" | "lg" | "xl" | undefined;
-            background?: string | undefined;
-            width?: "container" | "full" | "narrow" | undefined;
-            align?: "left" | "center" | "right" | undefined;
-            anchorId?: string | undefined;
-            animate?: "fade" | "up" | undefined;
-        }>>;
-    }, z.ZodTypeAny, "passthrough">[] | undefined;
-    translations?: Record<string, Record<string, string>> | undefined;
-}>;
+import * as z from "zod/mini";
+export declare const SymbolSchema: z.ZodMiniObject<{
+    name: z.ZodMiniString<string>;
+    blocks: z.ZodMiniDefault<z.ZodMiniArray<z.ZodMiniObject<{
+        _key: z.ZodMiniString<string>;
+        _style: z.ZodMiniOptional<z.ZodMiniObject<{
+            paddingY: z.ZodMiniOptional<z.ZodMiniEnum<{
+                lg: "lg";
+                md: "md";
+                none: "none";
+                sm: "sm";
+                xl: "xl";
+            }>>;
+            background: z.ZodMiniOptional<z.ZodMiniString<string>>;
+            width: z.ZodMiniOptional<z.ZodMiniEnum<{
+                container: "container";
+                full: "full";
+                narrow: "narrow";
+            }>>;
+            align: z.ZodMiniOptional<z.ZodMiniEnum<{
+                center: "center";
+                left: "left";
+                right: "right";
+            }>>;
+            anchorId: z.ZodMiniOptional<z.ZodMiniString<string>>;
+            animate: z.ZodMiniOptional<z.ZodMiniEnum<{
+                fade: "fade";
+                up: "up";
+            }>>;
+        }, z.core.$strip>>;
+        _type: z.ZodMiniString<string>;
+    }, z.core.$loose>>>;
+    translations: z.ZodMiniOptional<z.ZodMiniRecord<z.ZodMiniString<string>, z.ZodMiniRecord<z.ZodMiniString<string>, z.ZodMiniString<string>>>>;
+}, z.core.$strip>;
 export type SymbolDefinition = z.infer<typeof SymbolSchema>;
 export type StoredSymbol = SymbolDefinition & {
     id: string;

package/dist/schema/symbols.js

@@ -1,16 +1,16 @@
-import { z } from "zod";
-import { BlockBaseSchema } from "./blocks";
-import { TranslationsSchema } from "../i18n/overlay";
+import * as z from "zod/mini";
+import { BlockBaseSchema } from "./blocks.js";
+import { TranslationsSchema } from "../i18n/overlay.js";
 const SymbolSchema = z.object({
-  name: z.string().min(1).max(120).describe("Naam"),
+  name: z.string().check(z.minLength(1)).check(z.maxLength(120)).register(z.globalRegistry, { description: "Naam" }),
   /** De blok-compositie van het symbol (zelfde vorm als page.blocks). */
-  blocks: z.array(BlockBaseSchema).max(50).default([]).superRefine((blocks, ctx) => {
-    if (blocks.some((b) => b._type === "symbolRef")) {
-      ctx.addIssue({ code: z.ZodIssueCode.custom, message: "Een symbool kan geen ander symbool bevatten." });
+  blocks: z._default(z.array(BlockBaseSchema).check(z.maxLength(50)), []).check((ctx) => {
+    if (ctx.value.some((b) => b._type === "symbolRef")) {
+      ctx.issues.push({ code: "custom", input: ctx.value, message: "Een symbool kan geen ander symbool bevatten." });
     }
   }),
   /** Taal-overlay (5.0): per locale gepunte veldpaden → vertaalde tekst (zie i18n/overlay.ts). */
-  translations: TranslationsSchema.optional()
+  translations: z.optional(TranslationsSchema)
 });
 export {
   SymbolSchema

package/dist/schema/symbols.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../../src/schema/symbols.ts"],"sourcesContent":["/**\n * Symbols (5.0, primo-concept): een symbol is een benoemde, gedeelde sectie — een compositie van\n * gewone blokken — die op meerdere pagina's als **referentie** wordt ingevoegd (`symbolRef`-blok).\n * Wijzig het symbol → alle pagina's die ernaar verwijzen bewegen mee (i.t.t. patterns, die bij\n * invoegen worden gekloond). \"Loskoppelen\" in de editor zet een referentie om in een kloon.\n *\n * Opslag: `sites/{siteId}/symbols/{symbolId}` — publiek leesbaar (de live site leest ze bij het\n * renderen), schrijven alleen via de `saveSymbol`-callable (sanitize + validatie + audit).\n * Een symbol mag GEEN symbolRef bevatten (geen recursie) — afgedwongen in schema én callable.\n */\nimport { z } from \"zod\";\nimport { BlockBaseSchema } from \"./blocks\";\nimport { TranslationsSchema } from \"../i18n/overlay\";\n\nexport const SymbolSchema = z.object({\n  name: z.string().min(1).max(120).describe(\"Naam\"),\n  /** De blok-compositie van het symbol (zelfde vorm als page.blocks). */\n  blocks: z\n    .array(BlockBaseSchema)\n    .max(50)\n    .default([])\n    .superRefine((blocks, ctx) => {\n      if (blocks.some((b) => b._type === \"symbolRef\")) {\n        ctx.addIssue({ code: z.ZodIssueCode.custom, message: \"Een symbool kan geen ander symbool bevatten.\" });\n      }\n    }),\n  /** Taal-overlay (5.0): per locale gepunte veldpaden → vertaalde tekst (zie i18n/overlay.ts). */\n  translations: TranslationsSchema.optional(),\n});\n// \"SymbolDefinition\", niet \"Symbol\": dat schaduwde de JS-global Symbol in elke consumer-import.\nexport type SymbolDefinition = z.infer<typeof SymbolSchema>;\nexport type StoredSymbol = SymbolDefinition & { id: string };\n"],"mappings":"AAUA,SAAS,SAAS;AAClB,SAAS,uBAAuB;AAChC,SAAS,0BAA0B;AAE5B,MAAM,eAAe,EAAE,OAAO;AAAA,EACnC,MAAM,EAAE,OAAO,EAAE,IAAI,CAAC,EAAE,IAAI,GAAG,EAAE,SAAS,MAAM;AAAA;AAAA,EAEhD,QAAQ,EACL,MAAM,eAAe,EACrB,IAAI,EAAE,EACN,QAAQ,CAAC,CAAC,EACV,YAAY,CAAC,QAAQ,QAAQ;AAC5B,QAAI,OAAO,KAAK,CAAC,MAAM,EAAE,UAAU,WAAW,GAAG;AAC/C,UAAI,SAAS,EAAE,MAAM,EAAE,aAAa,QAAQ,SAAS,+CAA+C,CAAC;AAAA,IACvG;AAAA,EACF,CAAC;AAAA;AAAA,EAEH,cAAc,mBAAmB,SAAS;AAC5C,CAAC;","names":[]}
+{"version":3,"sources":["../../src/schema/symbols.ts"],"sourcesContent":["/**\n * Symbols (5.0, primo-concept): een symbol is een benoemde, gedeelde sectie — een compositie van\n * gewone blokken — die op meerdere pagina's als **referentie** wordt ingevoegd (`symbolRef`-blok).\n * Wijzig het symbol → alle pagina's die ernaar verwijzen bewegen mee (i.t.t. patterns, die bij\n * invoegen worden gekloond). \"Loskoppelen\" in de editor zet een referentie om in een kloon.\n *\n * Opslag: `sites/{siteId}/symbols/{symbolId}` — publiek leesbaar (de live site leest ze bij het\n * renderen), schrijven alleen via de `saveSymbol`-callable (sanitize + validatie + audit).\n * Een symbol mag GEEN symbolRef bevatten (geen recursie) — afgedwongen in schema én callable.\n */\nimport * as z from \"zod/mini\";\nimport { BlockBaseSchema } from \"./blocks\";\nimport { TranslationsSchema } from \"../i18n/overlay\";\n\nexport const SymbolSchema = z.object({\n  name: z.string().check(z.minLength(1)).check(z.maxLength(120)).register(z.globalRegistry, { description: \"Naam\" }),\n  /** De blok-compositie van het symbol (zelfde vorm als page.blocks). */\n  blocks: z._default(z.array(BlockBaseSchema).check(z.maxLength(50)), []).check((ctx) => {\n      if (ctx.value.some((b) => b._type === \"symbolRef\")) {\n        ctx.issues.push({ code: \"custom\", input: ctx.value, message: \"Een symbool kan geen ander symbool bevatten.\" });\n      }\n    }),\n  /** Taal-overlay (5.0): per locale gepunte veldpaden → vertaalde tekst (zie i18n/overlay.ts). */\n  translations: z.optional(TranslationsSchema),\n});\n// \"SymbolDefinition\", niet \"Symbol\": dat schaduwde de JS-global Symbol in elke consumer-import.\nexport type SymbolDefinition = z.infer<typeof SymbolSchema>;\nexport type StoredSymbol = SymbolDefinition & { id: string };\n"],"mappings":"AAUA,YAAY,OAAO;AACnB,SAAS,uBAAuB;AAChC,SAAS,0BAA0B;AAE5B,MAAM,eAAe,EAAE,OAAO;AAAA,EACnC,MAAM,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,EAAE,MAAM,EAAE,UAAU,GAAG,CAAC,EAAE,SAAS,EAAE,gBAAgB,EAAE,aAAa,OAAO,CAAC;AAAA;AAAA,EAEjH,QAAQ,EAAE,SAAS,EAAE,MAAM,eAAe,EAAE,MAAM,EAAE,UAAU,EAAE,CAAC,GAAG,CAAC,CAAC,EAAE,MAAM,CAAC,QAAQ;AACnF,QAAI,IAAI,MAAM,KAAK,CAAC,MAAM,EAAE,UAAU,WAAW,GAAG;AAClD,UAAI,OAAO,KAAK,EAAE,MAAM,UAAU,OAAO,IAAI,OAAO,SAAS,+CAA+C,CAAC;AAAA,IAC/G;AAAA,EACF,CAAC;AAAA;AAAA,EAEH,cAAc,EAAE,SAAS,kBAAkB;AAC7C,CAAC;","names":[]}

package/dist/server/auth.d.ts

@@ -0,0 +1,17 @@
+import "server-only";
+import { type Auth } from "firebase-admin/auth";
+/**
+ * Server-side Firebase Auth (Admin SDK) — opt-in via de subpath
+ * `@xiwebdesign/xicms-core/server/auth`.
+ *
+ * WAAROM EEN APARTE SUBPATH EN NIET IN `/server`: `firebase-admin/auth` trekt `jwks-rsa` aan, die
+ * `require("jose")` doet terwijl jose 6 puur ESM is. Turbopack laadt externals strikt als CJS, dus
+ * zodra deze tak in een route-bundel belandt eindigt élke server-render in
+ * `ERR_REQUIRE_ESM` → HTTP 500. Dat trof publieke pagina's die niets met auth te maken hebben,
+ * puur omdat `server/pages.ts` uit hetzelfde bestand `getAdminDb` importeerde. Gemeten op de
+ * staging-deploy van groenhof: geprerenderde pagina's 200, élke on-demand render 500.
+ *
+ * Zelfde patroon als `@xiwebdesign/xicms-core/server/shop`: wie het nodig heeft importeert het
+ * expliciet, de rest draagt het niet mee.
+ */
+export declare function getAdminAuth(): Auth | null;

package/dist/server/auth.js

@@ -0,0 +1,11 @@
+import "server-only";
+import { getAuth } from "firebase-admin/auth";
+import { getAdminApp } from "../firebase/admin.js";
+function getAdminAuth() {
+  const app = getAdminApp();
+  return app ? getAuth(app) : null;
+}
+export {
+  getAdminAuth
+};
+//# sourceMappingURL=auth.js.map

package/dist/server/auth.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../src/server/auth.ts"],"sourcesContent":["import \"server-only\";\n\nimport { getAuth, type Auth } from \"firebase-admin/auth\";\nimport { getAdminApp } from \"../firebase/admin\";\n\n/**\n * Server-side Firebase Auth (Admin SDK) — opt-in via de subpath\n * `@xiwebdesign/xicms-core/server/auth`.\n *\n * WAAROM EEN APARTE SUBPATH EN NIET IN `/server`: `firebase-admin/auth` trekt `jwks-rsa` aan, die\n * `require(\"jose\")` doet terwijl jose 6 puur ESM is. Turbopack laadt externals strikt als CJS, dus\n * zodra deze tak in een route-bundel belandt eindigt élke server-render in\n * `ERR_REQUIRE_ESM` → HTTP 500. Dat trof publieke pagina's die niets met auth te maken hebben,\n * puur omdat `server/pages.ts` uit hetzelfde bestand `getAdminDb` importeerde. Gemeten op de\n * staging-deploy van groenhof: geprerenderde pagina's 200, élke on-demand render 500.\n *\n * Zelfde patroon als `@xiwebdesign/xicms-core/server/shop`: wie het nodig heeft importeert het\n * expliciet, de rest draagt het niet mee.\n */\nexport function getAdminAuth(): Auth | null {\n  const app = getAdminApp();\n  return app ? getAuth(app) : null;\n}\n"],"mappings":"AAAA,OAAO;AAEP,SAAS,eAA0B;AACnC,SAAS,mBAAmB;AAgBrB,SAAS,eAA4B;AAC1C,QAAM,MAAM,YAAY;AACxB,SAAO,MAAM,QAAQ,GAAG,IAAI;AAC9B;","names":[]}

package/dist/server/bundle.d.ts

@@ -1,9 +1,9 @@
 import "server-only";
-import type { Page } from "../schema/pages";
-import type { StoredSymbol } from "../schema/symbols";
-import type { CustomBlock } from "../schema/customBlocks";
-import type { PublicSiteSettings } from "../schema/settings";
-import type { NewsArticle } from "../content/types";
+import type { Page } from "../schema/pages.js";
+import type { StoredSymbol } from "../schema/symbols.js";
+import type { CustomBlock } from "../schema/customBlocks.js";
+import type { PublicSiteSettings } from "../schema/settings.js";
+import type { NewsArticle } from "../content/types.js";
 /**
  * BUILD-TIME content-bundle READER (5.7).
  *
@@ -54,7 +54,16 @@ export declare const getBundle: typeof readBundle;
 export declare function getBundlePage(bundle: PublishedBundle, pagePath: string): (Page & {
     id: string;
 }) | null;
-/** Gepubliceerd nieuws uit de bundle, aflopend op datum (spiegelt de Firestore `orderBy(date,desc)`). */
+/**
+ * Gepubliceerd nieuws uit de bundle, aflopend op datum (spiegelt de Firestore `orderBy(date,desc)`).
+ *
+ * `bodyHtml` wordt hier SERVER-SIDE gesaneerd. Nieuws is de enige publieke content die editors
+ * rechtstreeks naar Firestore schrijven — er is geen publiceer-callable die `sanitizeBlocks`
+ * draait, zoals bij pagina's. Tot nu toe was DOMPurify in de browser de enige verdediging, wat
+ * betekende dat de opmaak pas ná hydratie verscheen: een crawler zag alleen kale tekst, en de
+ * lezer een layoutverschuiving. Door hier te saneren is de bundle-inhoud te vertrouwen én direct
+ * in de SSR-HTML te renderen (zie NewsArticleView).
+ */
 export declare function getBundleNews(bundle: PublishedBundle): NewsArticle[];
 /**
  * Server-side nieuwsdata voor de publieke nieuws-routes: geef het resultaat door als

package/dist/server/bundle.js

@@ -2,6 +2,7 @@ import "server-only";
 import { cache } from "react";
 import fs from "fs";
 import path from "path";
+import { sanitizeRichText } from "./sanitize.js";
 const BUNDLE_PATH = "content/published.bundle.json";
 function revive(v) {
   if (v === null || typeof v !== "object") return v;
@@ -49,7 +50,10 @@ function getBundlePage(bundle, pagePath) {
   return bundle.pages.find((p) => p.path === pagePath) ?? null;
 }
 function getBundleNews(bundle) {
-  return [...bundle.news].filter((n) => n.published !== false).sort((a, b) => String(b.date ?? "").localeCompare(String(a.date ?? "")));
+  return [...bundle.news].filter((n) => n.published !== false).sort((a, b) => String(b.date ?? "").localeCompare(String(a.date ?? ""))).map((n) => {
+    const raw = n.bodyHtml;
+    return typeof raw === "string" ? { ...n, bodyHtml: sanitizeRichText(raw) } : n;
+  });
 }
 function getNewsPageData(siteId) {
   const bundle = getBundle();

package/dist/server/bundle.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../../src/server/bundle.ts"],"sourcesContent":["import \"server-only\";\n\nimport { cache } from \"react\";\nimport fs from \"fs\";\nimport path from \"path\";\n\nimport type { Page } from \"../schema/pages\";\nimport type { StoredSymbol } from \"../schema/symbols\";\nimport type { CustomBlock } from \"../schema/customBlocks\";\nimport type { PublicSiteSettings } from \"../schema/settings\";\nimport type { NewsArticle } from \"../content/types\";\n\n/**\n * BUILD-TIME content-bundle READER (5.7).\n *\n * Een klantsite kan de GEPUBLICEERDE, publiek-veilige stand van zijn site lezen uit één\n * gecommit JSON-bestand (`content/published.bundle.json`, in de repo-root) i.p.v. uit Firestore.\n * De Cloud-Function-worker schrijft dat bestand bij elke publicatie en committeert het; een verse\n * build/rebuild heeft dan Firebase NOCH Firestore nodig — puur statische data.\n *\n * Contract: server/pages.ts leest bundle-first. Is er een bundle → serveer daaruit (zelfde\n * return-vormen als de Firestore-readers). Is er GEEN bundle (dev/lokaal, of een repo zonder\n * gecommit bundle) → val ongewijzigd terug op het Admin-SDK / keyless-REST-pad. De reader hier\n * gooit NOOIT: een ontbrekend/leeg/corrupt bestand levert `null` (met één regel warn), zodat de\n * Firestore-fallback het overneemt.\n *\n * De bundle-vorm moet 1-op-1 matchen met de writer (functions/src/lib/bundle.ts).\n */\n\n/** Eén bundle-item: doc-id samengevoegd met (gesaneerde) doc-data. */\nexport type BundleItem = { id: string } & Record<string, unknown>;\n\n/** Canonieke, PUBLIEKE bundle-vorm. Moet 1-op-1 matchen met de writer. */\nexport interface PublishedBundle {\n  version: 1;\n  siteId: string;\n  generatedAt: string; // ISO\n  /** = sites/{siteId}/settings/public (PublicSiteSettings-vorm), of null. */\n  settings: (PublicSiteSettings & Record<string, unknown>) | null;\n  /** ALLEEN gepubliceerde pagina's (status === \"published\"). */\n  pages: Array<Page & { id: string }>;\n  symbols: Array<StoredSymbol>;\n  customBlocks: Array<CustomBlock & { id: string }>;\n  /** ALLEEN gepubliceerd nieuws (published === true). */\n  news: Array<{ id: string } & Record<string, unknown>>;\n}\n\n/** Pad naar het gecommit bundle-bestand, relatief aan de repo-root (process.cwd() bij build/render). */\nconst BUNDLE_PATH = \"content/published.bundle.json\";\n\n/**\n * Serialiseert nog-niet-ge-ISO'de Firestore-Timestamps ({_seconds,_nanoseconds}) alsnog naar ISO.\n * De writer doet dit al, maar de reader blijft defensief: zo kan een handmatig/ouder bundle-bestand\n * geen zod-validatie breken. Recursief, referentie-behoudend is niet nodig (eenmalige read).\n */\nfunction revive(v: unknown): unknown {\n  if (v === null || typeof v !== \"object\") return v;\n  if (Array.isArray(v)) return v.map(revive);\n  const o = v as Record<string, unknown>;\n  if (typeof o._seconds === \"number\" && typeof o._nanoseconds === \"number\") {\n    return new Date(o._seconds * 1000 + Math.round(o._nanoseconds / 1e6)).toISOString();\n  }\n  const out: Record<string, unknown> = {};\n  for (const [k, val] of Object.entries(o)) out[k] = revive(val);\n  return out;\n}\n\nfunction readBundle(): PublishedBundle | null {\n  const file = path.join(process.cwd(), BUNDLE_PATH);\n  let raw: string;\n  try {\n    raw = fs.readFileSync(file, \"utf8\");\n  } catch {\n    // Geen bestand = geen bundle: doodnormaal in dev/lokaal → stil de Firestore-fallback laten winnen.\n    return null;\n  }\n  if (!raw.trim()) return null;\n  try {\n    const parsed = revive(JSON.parse(raw)) as Partial<PublishedBundle>;\n    if (!parsed || parsed.version !== 1 || typeof parsed.siteId !== \"string\") {\n      console.warn(`[xicms] ${BUNDLE_PATH} heeft een onbekende vorm (version/siteId) — Firestore-fallback wordt gebruikt.`);\n      return null;\n    }\n    // Normaliseer de collecties naar arrays (defensief tegen een half-geschreven bestand).\n    return {\n      version: 1,\n      siteId: parsed.siteId,\n      generatedAt: typeof parsed.generatedAt === \"string\" ? parsed.generatedAt : \"\",\n      settings: (parsed.settings as PublishedBundle[\"settings\"]) ?? null,\n      pages: Array.isArray(parsed.pages) ? parsed.pages : [],\n      symbols: Array.isArray(parsed.symbols) ? parsed.symbols : [],\n      customBlocks: Array.isArray(parsed.customBlocks) ? parsed.customBlocks : [],\n      news: Array.isArray(parsed.news) ? parsed.news : [],\n    };\n  } catch (err) {\n    console.warn(`[xicms] ${BUNDLE_PATH} kon niet geparsed worden — Firestore-fallback wordt gebruikt:`, (err as Error)?.message ?? err);\n    return null;\n  }\n}\n\n/**\n * De gecommit content-bundle, of `null` als er geen (bruikbaar) bestand is. Per render-pass één keer\n * gelezen (React `cache()`), zodat alle bundle-first readers dezelfde in-memory kopie delen.\n */\nexport const getBundle = cache(readBundle);\n\n/** Pad-matching gelijk aan server/pages.ts (`path`-veld exact). */\nexport function getBundlePage(bundle: PublishedBundle, pagePath: string): (Page & { id: string }) | null {\n  return bundle.pages.find((p) => p.path === pagePath) ?? null;\n}\n\n/** Gepubliceerd nieuws uit de bundle, aflopend op datum (spiegelt de Firestore `orderBy(date,desc)`). */\nexport function getBundleNews(bundle: PublishedBundle): NewsArticle[] {\n  return [...bundle.news]\n    .filter((n) => (n as { published?: unknown }).published !== false)\n    .sort((a, b) => String(b.date ?? \"\").localeCompare(String(a.date ?? \"\"))) as unknown as NewsArticle[];\n}\n\n/**\n * Server-side nieuwsdata voor de publieke nieuws-routes: geef het resultaat door als\n * `<BlockDataProvider data={{ news }}>` zodat `useNews`/`NewsList` uit de bundle renderen (SSR,\n * geen browser-Firestore-read). Geeft `null` als er geen bundle (voor deze site) is — dan valt\n * `useNews` terug op zijn eigen Firestore-pad (admin/preview/dev, ongewijzigd gedrag).\n */\nexport function getNewsPageData(siteId: string): NewsArticle[] | null {\n  const bundle = getBundle();\n  if (!bundle || bundle.siteId !== siteId) return null;\n  return getBundleNews(bundle);\n}\n"],"mappings":"AAAA,OAAO;AAEP,SAAS,aAAa;AACtB,OAAO,QAAQ;AACf,OAAO,UAAU;AA4CjB,MAAM,cAAc;AAOpB,SAAS,OAAO,GAAqB;AACnC,MAAI,MAAM,QAAQ,OAAO,MAAM,SAAU,QAAO;AAChD,MAAI,MAAM,QAAQ,CAAC,EAAG,QAAO,EAAE,IAAI,MAAM;AACzC,QAAM,IAAI;AACV,MAAI,OAAO,EAAE,aAAa,YAAY,OAAO,EAAE,iBAAiB,UAAU;AACxE,WAAO,IAAI,KAAK,EAAE,WAAW,MAAO,KAAK,MAAM,EAAE,eAAe,GAAG,CAAC,EAAE,YAAY;AAAA,EACpF;AACA,QAAM,MAA+B,CAAC;AACtC,aAAW,CAAC,GAAG,GAAG,KAAK,OAAO,QAAQ,CAAC,EAAG,KAAI,CAAC,IAAI,OAAO,GAAG;AAC7D,SAAO;AACT;AAEA,SAAS,aAAqC;AAC5C,QAAM,OAAO,KAAK,KAAK,QAAQ,IAAI,GAAG,WAAW;AACjD,MAAI;AACJ,MAAI;AACF,UAAM,GAAG,aAAa,MAAM,MAAM;AAAA,EACpC,QAAQ;AAEN,WAAO;AAAA,EACT;AACA,MAAI,CAAC,IAAI,KAAK,EAAG,QAAO;AACxB,MAAI;AACF,UAAM,SAAS,OAAO,KAAK,MAAM,GAAG,CAAC;AACrC,QAAI,CAAC,UAAU,OAAO,YAAY,KAAK,OAAO,OAAO,WAAW,UAAU;AACxE,cAAQ,KAAK,WAAW,WAAW,sFAAiF;AACpH,aAAO;AAAA,IACT;AAEA,WAAO;AAAA,MACL,SAAS;AAAA,MACT,QAAQ,OAAO;AAAA,MACf,aAAa,OAAO,OAAO,gBAAgB,WAAW,OAAO,cAAc;AAAA,MAC3E,UAAW,OAAO,YAA4C;AAAA,MAC9D,OAAO,MAAM,QAAQ,OAAO,KAAK,IAAI,OAAO,QAAQ,CAAC;AAAA,MACrD,SAAS,MAAM,QAAQ,OAAO,OAAO,IAAI,OAAO,UAAU,CAAC;AAAA,MAC3D,cAAc,MAAM,QAAQ,OAAO,YAAY,IAAI,OAAO,eAAe,CAAC;AAAA,MAC1E,MAAM,MAAM,QAAQ,OAAO,IAAI,IAAI,OAAO,OAAO,CAAC;AAAA,IACpD;AAAA,EACF,SAAS,KAAK;AACZ,YAAQ,KAAK,WAAW,WAAW,uEAAmE,KAAe,WAAW,GAAG;AACnI,WAAO;AAAA,EACT;AACF;AAMO,MAAM,YAAY,MAAM,UAAU;AAGlC,SAAS,cAAc,QAAyB,UAAkD;AACvG,SAAO,OAAO,MAAM,KAAK,CAAC,MAAM,EAAE,SAAS,QAAQ,KAAK;AAC1D;AAGO,SAAS,cAAc,QAAwC;AACpE,SAAO,CAAC,GAAG,OAAO,IAAI,EACnB,OAAO,CAAC,MAAO,EAA8B,cAAc,KAAK,EAChE,KAAK,CAAC,GAAG,MAAM,OAAO,EAAE,QAAQ,EAAE,EAAE,cAAc,OAAO,EAAE,QAAQ,EAAE,CAAC,CAAC;AAC5E;AAQO,SAAS,gBAAgB,QAAsC;AACpE,QAAM,SAAS,UAAU;AACzB,MAAI,CAAC,UAAU,OAAO,WAAW,OAAQ,QAAO;AAChD,SAAO,cAAc,MAAM;AAC7B;","names":[]}
+{"version":3,"sources":["../../src/server/bundle.ts"],"sourcesContent":["import \"server-only\";\n\nimport { cache } from \"react\";\nimport fs from \"fs\";\nimport path from \"path\";\n\nimport type { Page } from \"../schema/pages\";\nimport type { StoredSymbol } from \"../schema/symbols\";\nimport type { CustomBlock } from \"../schema/customBlocks\";\nimport type { PublicSiteSettings } from \"../schema/settings\";\nimport { sanitizeRichText } from \"./sanitize\";\nimport type { NewsArticle } from \"../content/types\";\n\n/**\n * BUILD-TIME content-bundle READER (5.7).\n *\n * Een klantsite kan de GEPUBLICEERDE, publiek-veilige stand van zijn site lezen uit één\n * gecommit JSON-bestand (`content/published.bundle.json`, in de repo-root) i.p.v. uit Firestore.\n * De Cloud-Function-worker schrijft dat bestand bij elke publicatie en committeert het; een verse\n * build/rebuild heeft dan Firebase NOCH Firestore nodig — puur statische data.\n *\n * Contract: server/pages.ts leest bundle-first. Is er een bundle → serveer daaruit (zelfde\n * return-vormen als de Firestore-readers). Is er GEEN bundle (dev/lokaal, of een repo zonder\n * gecommit bundle) → val ongewijzigd terug op het Admin-SDK / keyless-REST-pad. De reader hier\n * gooit NOOIT: een ontbrekend/leeg/corrupt bestand levert `null` (met één regel warn), zodat de\n * Firestore-fallback het overneemt.\n *\n * De bundle-vorm moet 1-op-1 matchen met de writer (functions/src/lib/bundle.ts).\n */\n\n/** Eén bundle-item: doc-id samengevoegd met (gesaneerde) doc-data. */\nexport type BundleItem = { id: string } & Record<string, unknown>;\n\n/** Canonieke, PUBLIEKE bundle-vorm. Moet 1-op-1 matchen met de writer. */\nexport interface PublishedBundle {\n  version: 1;\n  siteId: string;\n  generatedAt: string; // ISO\n  /** = sites/{siteId}/settings/public (PublicSiteSettings-vorm), of null. */\n  settings: (PublicSiteSettings & Record<string, unknown>) | null;\n  /** ALLEEN gepubliceerde pagina's (status === \"published\"). */\n  pages: Array<Page & { id: string }>;\n  symbols: Array<StoredSymbol>;\n  customBlocks: Array<CustomBlock & { id: string }>;\n  /** ALLEEN gepubliceerd nieuws (published === true). */\n  news: Array<{ id: string } & Record<string, unknown>>;\n}\n\n/** Pad naar het gecommit bundle-bestand, relatief aan de repo-root (process.cwd() bij build/render). */\nconst BUNDLE_PATH = \"content/published.bundle.json\";\n\n/**\n * Serialiseert nog-niet-ge-ISO'de Firestore-Timestamps ({_seconds,_nanoseconds}) alsnog naar ISO.\n * De writer doet dit al, maar de reader blijft defensief: zo kan een handmatig/ouder bundle-bestand\n * geen zod-validatie breken. Recursief, referentie-behoudend is niet nodig (eenmalige read).\n */\nfunction revive(v: unknown): unknown {\n  if (v === null || typeof v !== \"object\") return v;\n  if (Array.isArray(v)) return v.map(revive);\n  const o = v as Record<string, unknown>;\n  if (typeof o._seconds === \"number\" && typeof o._nanoseconds === \"number\") {\n    return new Date(o._seconds * 1000 + Math.round(o._nanoseconds / 1e6)).toISOString();\n  }\n  const out: Record<string, unknown> = {};\n  for (const [k, val] of Object.entries(o)) out[k] = revive(val);\n  return out;\n}\n\nfunction readBundle(): PublishedBundle | null {\n  const file = path.join(process.cwd(), BUNDLE_PATH);\n  let raw: string;\n  try {\n    raw = fs.readFileSync(file, \"utf8\");\n  } catch {\n    // Geen bestand = geen bundle: doodnormaal in dev/lokaal → stil de Firestore-fallback laten winnen.\n    return null;\n  }\n  if (!raw.trim()) return null;\n  try {\n    const parsed = revive(JSON.parse(raw)) as Partial<PublishedBundle>;\n    if (!parsed || parsed.version !== 1 || typeof parsed.siteId !== \"string\") {\n      console.warn(`[xicms] ${BUNDLE_PATH} heeft een onbekende vorm (version/siteId) — Firestore-fallback wordt gebruikt.`);\n      return null;\n    }\n    // Normaliseer de collecties naar arrays (defensief tegen een half-geschreven bestand).\n    return {\n      version: 1,\n      siteId: parsed.siteId,\n      generatedAt: typeof parsed.generatedAt === \"string\" ? parsed.generatedAt : \"\",\n      settings: (parsed.settings as PublishedBundle[\"settings\"]) ?? null,\n      pages: Array.isArray(parsed.pages) ? parsed.pages : [],\n      symbols: Array.isArray(parsed.symbols) ? parsed.symbols : [],\n      customBlocks: Array.isArray(parsed.customBlocks) ? parsed.customBlocks : [],\n      news: Array.isArray(parsed.news) ? parsed.news : [],\n    };\n  } catch (err) {\n    console.warn(`[xicms] ${BUNDLE_PATH} kon niet geparsed worden — Firestore-fallback wordt gebruikt:`, (err as Error)?.message ?? err);\n    return null;\n  }\n}\n\n/**\n * De gecommit content-bundle, of `null` als er geen (bruikbaar) bestand is. Per render-pass één keer\n * gelezen (React `cache()`), zodat alle bundle-first readers dezelfde in-memory kopie delen.\n */\nexport const getBundle = cache(readBundle);\n\n/** Pad-matching gelijk aan server/pages.ts (`path`-veld exact). */\nexport function getBundlePage(bundle: PublishedBundle, pagePath: string): (Page & { id: string }) | null {\n  return bundle.pages.find((p) => p.path === pagePath) ?? null;\n}\n\n/**\n * Gepubliceerd nieuws uit de bundle, aflopend op datum (spiegelt de Firestore `orderBy(date,desc)`).\n *\n * `bodyHtml` wordt hier SERVER-SIDE gesaneerd. Nieuws is de enige publieke content die editors\n * rechtstreeks naar Firestore schrijven — er is geen publiceer-callable die `sanitizeBlocks`\n * draait, zoals bij pagina's. Tot nu toe was DOMPurify in de browser de enige verdediging, wat\n * betekende dat de opmaak pas ná hydratie verscheen: een crawler zag alleen kale tekst, en de\n * lezer een layoutverschuiving. Door hier te saneren is de bundle-inhoud te vertrouwen én direct\n * in de SSR-HTML te renderen (zie NewsArticleView).\n */\nexport function getBundleNews(bundle: PublishedBundle): NewsArticle[] {\n  return [...bundle.news]\n    .filter((n) => (n as { published?: unknown }).published !== false)\n    .sort((a, b) => String(b.date ?? \"\").localeCompare(String(a.date ?? \"\")))\n    .map((n) => {\n      const raw = (n as { bodyHtml?: unknown }).bodyHtml;\n      return typeof raw === \"string\" ? { ...n, bodyHtml: sanitizeRichText(raw) } : n;\n    }) as unknown as NewsArticle[];\n}\n\n/**\n * Server-side nieuwsdata voor de publieke nieuws-routes: geef het resultaat door als\n * `<BlockDataProvider data={{ news }}>` zodat `useNews`/`NewsList` uit de bundle renderen (SSR,\n * geen browser-Firestore-read). Geeft `null` als er geen bundle (voor deze site) is — dan valt\n * `useNews` terug op zijn eigen Firestore-pad (admin/preview/dev, ongewijzigd gedrag).\n */\nexport function getNewsPageData(siteId: string): NewsArticle[] | null {\n  const bundle = getBundle();\n  if (!bundle || bundle.siteId !== siteId) return null;\n  return getBundleNews(bundle);\n}\n"],"mappings":"AAAA,OAAO;AAEP,SAAS,aAAa;AACtB,OAAO,QAAQ;AACf,OAAO,UAAU;AAMjB,SAAS,wBAAwB;AAuCjC,MAAM,cAAc;AAOpB,SAAS,OAAO,GAAqB;AACnC,MAAI,MAAM,QAAQ,OAAO,MAAM,SAAU,QAAO;AAChD,MAAI,MAAM,QAAQ,CAAC,EAAG,QAAO,EAAE,IAAI,MAAM;AACzC,QAAM,IAAI;AACV,MAAI,OAAO,EAAE,aAAa,YAAY,OAAO,EAAE,iBAAiB,UAAU;AACxE,WAAO,IAAI,KAAK,EAAE,WAAW,MAAO,KAAK,MAAM,EAAE,eAAe,GAAG,CAAC,EAAE,YAAY;AAAA,EACpF;AACA,QAAM,MAA+B,CAAC;AACtC,aAAW,CAAC,GAAG,GAAG,KAAK,OAAO,QAAQ,CAAC,EAAG,KAAI,CAAC,IAAI,OAAO,GAAG;AAC7D,SAAO;AACT;AAEA,SAAS,aAAqC;AAC5C,QAAM,OAAO,KAAK,KAAK,QAAQ,IAAI,GAAG,WAAW;AACjD,MAAI;AACJ,MAAI;AACF,UAAM,GAAG,aAAa,MAAM,MAAM;AAAA,EACpC,QAAQ;AAEN,WAAO;AAAA,EACT;AACA,MAAI,CAAC,IAAI,KAAK,EAAG,QAAO;AACxB,MAAI;AACF,UAAM,SAAS,OAAO,KAAK,MAAM,GAAG,CAAC;AACrC,QAAI,CAAC,UAAU,OAAO,YAAY,KAAK,OAAO,OAAO,WAAW,UAAU;AACxE,cAAQ,KAAK,WAAW,WAAW,sFAAiF;AACpH,aAAO;AAAA,IACT;AAEA,WAAO;AAAA,MACL,SAAS;AAAA,MACT,QAAQ,OAAO;AAAA,MACf,aAAa,OAAO,OAAO,gBAAgB,WAAW,OAAO,cAAc;AAAA,MAC3E,UAAW,OAAO,YAA4C;AAAA,MAC9D,OAAO,MAAM,QAAQ,OAAO,KAAK,IAAI,OAAO,QAAQ,CAAC;AAAA,MACrD,SAAS,MAAM,QAAQ,OAAO,OAAO,IAAI,OAAO,UAAU,CAAC;AAAA,MAC3D,cAAc,MAAM,QAAQ,OAAO,YAAY,IAAI,OAAO,eAAe,CAAC;AAAA,MAC1E,MAAM,MAAM,QAAQ,OAAO,IAAI,IAAI,OAAO,OAAO,CAAC;AAAA,IACpD;AAAA,EACF,SAAS,KAAK;AACZ,YAAQ,KAAK,WAAW,WAAW,uEAAmE,KAAe,WAAW,GAAG;AACnI,WAAO;AAAA,EACT;AACF;AAMO,MAAM,YAAY,MAAM,UAAU;AAGlC,SAAS,cAAc,QAAyB,UAAkD;AACvG,SAAO,OAAO,MAAM,KAAK,CAAC,MAAM,EAAE,SAAS,QAAQ,KAAK;AAC1D;AAYO,SAAS,cAAc,QAAwC;AACpE,SAAO,CAAC,GAAG,OAAO,IAAI,EACnB,OAAO,CAAC,MAAO,EAA8B,cAAc,KAAK,EAChE,KAAK,CAAC,GAAG,MAAM,OAAO,EAAE,QAAQ,EAAE,EAAE,cAAc,OAAO,EAAE,QAAQ,EAAE,CAAC,CAAC,EACvE,IAAI,CAAC,MAAM;AACV,UAAM,MAAO,EAA6B;AAC1C,WAAO,OAAO,QAAQ,WAAW,EAAE,GAAG,GAAG,UAAU,iBAAiB,GAAG,EAAE,IAAI;AAAA,EAC/E,CAAC;AACL;AAQO,SAAS,gBAAgB,QAAsC;AACpE,QAAM,SAAS,UAAU;AACzB,MAAI,CAAC,UAAU,OAAO,WAAW,OAAQ,QAAO;AAChD,SAAO,cAAc,MAAM;AAC7B;","names":[]}

package/dist/server/draft.d.ts

@@ -0,0 +1,16 @@
+/**
+ * Zet Next's Draft Mode aan of uit voor de huidige browser. Aangeroepen door `PreviewDraftSync`
+ * (XiCMSProvider) zodra een editor in- of uitlogt: `POST /api/draft?aan=1` respectievelijk `?aan=0`.
+ *
+ * WAAROM DIT MOET: Draft Mode werkt via de ondertekende `__prerender_bypass`-cookie, en die kan
+ * alleen de server zetten — `document.cookie` op de client komt er niet aan. Precies dat maakt het
+ * beter dan de eigen preview-cookie die hiervoor gebruikt werd: Next controleert deze cookie VÓÓR
+ * de cache, buiten de route om, dus de pagina-route hoeft niets dynamisch te lezen en blijft voor
+ * publiek gewoon statisch geprerenderd.
+ *
+ * Draagt geen rechten: preview toont nooit meer dan de al-gepubliceerde content, dus wie deze route
+ * zelf aanroept ziet hoogstens een verse versie van iets dat toch al openbaar is. Wat het wél kost
+ * is een ongecachte render (en dus een Firestore-read) per request van die browser. Wil je dat
+ * afsluiten, verifieer dan hier een Firebase-ID-token vóór `enable()`.
+ */
+export declare function draftPOST(req: Request): Promise<Response>;

package/dist/server/draft.js

@@ -0,0 +1,12 @@
+import { draftMode } from "next/headers";
+async function draftPOST(req) {
+  const aan = new URL(req.url).searchParams.get("aan") !== "0";
+  const dm = await draftMode();
+  if (aan) dm.enable();
+  else dm.disable();
+  return new Response(null, { status: 204 });
+}
+export {
+  draftPOST
+};
+//# sourceMappingURL=draft.js.map

package/dist/server/draft.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../../src/server/draft.ts"],"sourcesContent":["import { draftMode } from \"next/headers\";\n\n/**\n * Zet Next's Draft Mode aan of uit voor de huidige browser. Aangeroepen door `PreviewDraftSync`\n * (XiCMSProvider) zodra een editor in- of uitlogt: `POST /api/draft?aan=1` respectievelijk `?aan=0`.\n *\n * WAAROM DIT MOET: Draft Mode werkt via de ondertekende `__prerender_bypass`-cookie, en die kan\n * alleen de server zetten — `document.cookie` op de client komt er niet aan. Precies dat maakt het\n * beter dan de eigen preview-cookie die hiervoor gebruikt werd: Next controleert deze cookie VÓÓR\n * de cache, buiten de route om, dus de pagina-route hoeft niets dynamisch te lezen en blijft voor\n * publiek gewoon statisch geprerenderd.\n *\n * Draagt geen rechten: preview toont nooit meer dan de al-gepubliceerde content, dus wie deze route\n * zelf aanroept ziet hoogstens een verse versie van iets dat toch al openbaar is. Wat het wél kost\n * is een ongecachte render (en dus een Firestore-read) per request van die browser. Wil je dat\n * afsluiten, verifieer dan hier een Firebase-ID-token vóór `enable()`.\n */\nexport async function draftPOST(req: Request): Promise<Response> {\n  const aan = new URL(req.url).searchParams.get(\"aan\") !== \"0\";\n  const dm = await draftMode();\n  if (aan) dm.enable();\n  else dm.disable();\n  return new Response(null, { status: 204 });\n}\n"],"mappings":"AAAA,SAAS,iBAAiB;AAiB1B,eAAsB,UAAU,KAAiC;AAC/D,QAAM,MAAM,IAAI,IAAI,IAAI,GAAG,EAAE,aAAa,IAAI,KAAK,MAAM;AACzD,QAAM,KAAK,MAAM,UAAU;AAC3B,MAAI,IAAK,IAAG,OAAO;AAAA,MACd,IAAG,QAAQ;AAChB,SAAO,IAAI,SAAS,MAAM,EAAE,QAAQ,IAAI,CAAC;AAC3C;","names":[]}

package/dist/server/env.js

@@ -1,13 +1,13 @@
 import "server-only";
-import { z } from "zod";
+import * as z from "zod/mini";
 const EnvSchema = z.object({
-  NEXT_PUBLIC_FIREBASE_API_KEY: z.string().min(1).optional(),
-  NEXT_PUBLIC_FIREBASE_PROJECT_ID: z.string().min(1).optional(),
-  NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN: z.string().optional(),
-  NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET: z.string().optional(),
-  NEXT_PUBLIC_FIREBASE_MESSAGING_SENDER_ID: z.string().optional(),
-  NEXT_PUBLIC_FIREBASE_APP_ID: z.string().optional(),
-  NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION: z.string().optional()
+  NEXT_PUBLIC_FIREBASE_API_KEY: z.optional(z.string().check(z.minLength(1))),
+  NEXT_PUBLIC_FIREBASE_PROJECT_ID: z.optional(z.string().check(z.minLength(1))),
+  NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN: z.optional(z.string()),
+  NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET: z.optional(z.string()),
+  NEXT_PUBLIC_FIREBASE_MESSAGING_SENDER_ID: z.optional(z.string()),
+  NEXT_PUBLIC_FIREBASE_APP_ID: z.optional(z.string()),
+  NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION: z.optional(z.string())
 });
 function validateEnv(env = process.env) {
   const problems = [];

package/dist/server/env.js.map

@@ -1 +1 @@
-{"version":3,"sources":["../../src/server/env.ts"],"sourcesContent":["import \"server-only\";\n\nimport { z } from \"zod\";\n\n/**\n * Env-validatie — vangt ontbrekende/foute Firebase-config vroeg (bij build/serverstart) i.p.v.\n * een cryptische runtime-fout later. Roep `validateEnv()` aan in een server-context (bv. de\n * sitemap-route of een instrumentation-hook). `assertEnv()` gooit; `validateEnv()` rapporteert.\n */\nconst EnvSchema = z.object({\n  NEXT_PUBLIC_FIREBASE_API_KEY: z.string().min(1).optional(),\n  NEXT_PUBLIC_FIREBASE_PROJECT_ID: z.string().min(1).optional(),\n  NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN: z.string().optional(),\n  NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET: z.string().optional(),\n  NEXT_PUBLIC_FIREBASE_MESSAGING_SENDER_ID: z.string().optional(),\n  NEXT_PUBLIC_FIREBASE_APP_ID: z.string().optional(),\n  NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION: z.string().optional(),\n});\n\nexport interface EnvReport {\n  ok: boolean;\n  /** Firebase volledig geconfigureerd (apiKey + projectId aanwezig). */\n  firebaseConfigured: boolean;\n  problems: string[];\n}\n\nexport function validateEnv(env: NodeJS.ProcessEnv = process.env): EnvReport {\n  const problems: string[] = [];\n  const parsed = EnvSchema.safeParse(env);\n  if (!parsed.success) {\n    for (const issue of parsed.error.issues) problems.push(`${issue.path.join(\".\")}: ${issue.message}`);\n  }\n  const apiKey = env.NEXT_PUBLIC_FIREBASE_API_KEY;\n  const projectId = env.NEXT_PUBLIC_FIREBASE_PROJECT_ID;\n  const firebaseConfigured = Boolean(apiKey && projectId);\n\n  // Half-geconfigureerd is een veelvoorkomende, lastig te debuggen fout: meld het expliciet.\n  if (apiKey && !projectId) problems.push(\"NEXT_PUBLIC_FIREBASE_PROJECT_ID ontbreekt (apiKey is wél gezet).\");\n  if (!apiKey && projectId) problems.push(\"NEXT_PUBLIC_FIREBASE_API_KEY ontbreekt (projectId is wél gezet).\");\n\n  return { ok: problems.length === 0, firebaseConfigured, problems };\n}\n\n/** Gooit als de env ongeldig is. Gebruik in build/serverstart om snel te falen. */\nexport function assertEnv(env: NodeJS.ProcessEnv = process.env): void {\n  const report = validateEnv(env);\n  if (!report.ok) {\n    throw new Error(`XiCMS env-configuratie ongeldig:\\n- ${report.problems.join(\"\\n- \")}`);\n  }\n}\n"],"mappings":"AAAA,OAAO;AAEP,SAAS,SAAS;AAOlB,MAAM,YAAY,EAAE,OAAO;AAAA,EACzB,8BAA8B,EAAE,OAAO,EAAE,IAAI,CAAC,EAAE,SAAS;AAAA,EACzD,iCAAiC,EAAE,OAAO,EAAE,IAAI,CAAC,EAAE,SAAS;AAAA,EAC5D,kCAAkC,EAAE,OAAO,EAAE,SAAS;AAAA,EACtD,qCAAqC,EAAE,OAAO,EAAE,SAAS;AAAA,EACzD,0CAA0C,EAAE,OAAO,EAAE,SAAS;AAAA,EAC9D,6BAA6B,EAAE,OAAO,EAAE,SAAS;AAAA,EACjD,uCAAuC,EAAE,OAAO,EAAE,SAAS;AAC7D,CAAC;AASM,SAAS,YAAY,MAAyB,QAAQ,KAAgB;AAC3E,QAAM,WAAqB,CAAC;AAC5B,QAAM,SAAS,UAAU,UAAU,GAAG;AACtC,MAAI,CAAC,OAAO,SAAS;AACnB,eAAW,SAAS,OAAO,MAAM,OAAQ,UAAS,KAAK,GAAG,MAAM,KAAK,KAAK,GAAG,CAAC,KAAK,MAAM,OAAO,EAAE;AAAA,EACpG;AACA,QAAM,SAAS,IAAI;AACnB,QAAM,YAAY,IAAI;AACtB,QAAM,qBAAqB,QAAQ,UAAU,SAAS;AAGtD,MAAI,UAAU,CAAC,UAAW,UAAS,KAAK,qEAAkE;AAC1G,MAAI,CAAC,UAAU,UAAW,UAAS,KAAK,qEAAkE;AAE1G,SAAO,EAAE,IAAI,SAAS,WAAW,GAAG,oBAAoB,SAAS;AACnE;AAGO,SAAS,UAAU,MAAyB,QAAQ,KAAW;AACpE,QAAM,SAAS,YAAY,GAAG;AAC9B,MAAI,CAAC,OAAO,IAAI;AACd,UAAM,IAAI,MAAM;AAAA,IAAuC,OAAO,SAAS,KAAK,MAAM,CAAC,EAAE;AAAA,EACvF;AACF;","names":[]}
+{"version":3,"sources":["../../src/server/env.ts"],"sourcesContent":["import \"server-only\";\n\nimport * as z from \"zod/mini\";\n\n/**\n * Env-validatie — vangt ontbrekende/foute Firebase-config vroeg (bij build/serverstart) i.p.v.\n * een cryptische runtime-fout later. Roep `validateEnv()` aan in een server-context (bv. de\n * sitemap-route of een instrumentation-hook). `assertEnv()` gooit; `validateEnv()` rapporteert.\n */\nconst EnvSchema = z.object({\n  NEXT_PUBLIC_FIREBASE_API_KEY: z.optional(z.string().check(z.minLength(1))),\n  NEXT_PUBLIC_FIREBASE_PROJECT_ID: z.optional(z.string().check(z.minLength(1))),\n  NEXT_PUBLIC_FIREBASE_AUTH_DOMAIN: z.optional(z.string()),\n  NEXT_PUBLIC_FIREBASE_STORAGE_BUCKET: z.optional(z.string()),\n  NEXT_PUBLIC_FIREBASE_MESSAGING_SENDER_ID: z.optional(z.string()),\n  NEXT_PUBLIC_FIREBASE_APP_ID: z.optional(z.string()),\n  NEXT_PUBLIC_FIREBASE_FUNCTIONS_REGION: z.optional(z.string()),\n});\n\nexport interface EnvReport {\n  ok: boolean;\n  /** Firebase volledig geconfigureerd (apiKey + projectId aanwezig). */\n  firebaseConfigured: boolean;\n  problems: string[];\n}\n\nexport function validateEnv(env: NodeJS.ProcessEnv = process.env): EnvReport {\n  const problems: string[] = [];\n  const parsed = EnvSchema.safeParse(env);\n  if (!parsed.success) {\n    for (const issue of parsed.error.issues) problems.push(`${issue.path.join(\".\")}: ${issue.message}`);\n  }\n  const apiKey = env.NEXT_PUBLIC_FIREBASE_API_KEY;\n  const projectId = env.NEXT_PUBLIC_FIREBASE_PROJECT_ID;\n  const firebaseConfigured = Boolean(apiKey && projectId);\n\n  // Half-geconfigureerd is een veelvoorkomende, lastig te debuggen fout: meld het expliciet.\n  if (apiKey && !projectId) problems.push(\"NEXT_PUBLIC_FIREBASE_PROJECT_ID ontbreekt (apiKey is wél gezet).\");\n  if (!apiKey && projectId) problems.push(\"NEXT_PUBLIC_FIREBASE_API_KEY ontbreekt (projectId is wél gezet).\");\n\n  return { ok: problems.length === 0, firebaseConfigured, problems };\n}\n\n/** Gooit als de env ongeldig is. Gebruik in build/serverstart om snel te falen. */\nexport function assertEnv(env: NodeJS.ProcessEnv = process.env): void {\n  const report = validateEnv(env);\n  if (!report.ok) {\n    throw new Error(`XiCMS env-configuratie ongeldig:\\n- ${report.problems.join(\"\\n- \")}`);\n  }\n}\n"],"mappings":"AAAA,OAAO;AAEP,YAAY,OAAO;AAOnB,MAAM,YAAY,EAAE,OAAO;AAAA,EACzB,8BAA8B,EAAE,SAAS,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,CAAC;AAAA,EACzE,iCAAiC,EAAE,SAAS,EAAE,OAAO,EAAE,MAAM,EAAE,UAAU,CAAC,CAAC,CAAC;AAAA,EAC5E,kCAAkC,EAAE,SAAS,EAAE,OAAO,CAAC;AAAA,EACvD,qCAAqC,EAAE,SAAS,EAAE,OAAO,CAAC;AAAA,EAC1D,0CAA0C,EAAE,SAAS,EAAE,OAAO,CAAC;AAAA,EAC/D,6BAA6B,EAAE,SAAS,EAAE,OAAO,CAAC;AAAA,EAClD,uCAAuC,EAAE,SAAS,EAAE,OAAO,CAAC;AAC9D,CAAC;AASM,SAAS,YAAY,MAAyB,QAAQ,KAAgB;AAC3E,QAAM,WAAqB,CAAC;AAC5B,QAAM,SAAS,UAAU,UAAU,GAAG;AACtC,MAAI,CAAC,OAAO,SAAS;AACnB,eAAW,SAAS,OAAO,MAAM,OAAQ,UAAS,KAAK,GAAG,MAAM,KAAK,KAAK,GAAG,CAAC,KAAK,MAAM,OAAO,EAAE;AAAA,EACpG;AACA,QAAM,SAAS,IAAI;AACnB,QAAM,YAAY,IAAI;AACtB,QAAM,qBAAqB,QAAQ,UAAU,SAAS;AAGtD,MAAI,UAAU,CAAC,UAAW,UAAS,KAAK,qEAAkE;AAC1G,MAAI,CAAC,UAAU,UAAW,UAAS,KAAK,qEAAkE;AAE1G,SAAO,EAAE,IAAI,SAAS,WAAW,GAAG,oBAAoB,SAAS;AACnE;AAGO,SAAS,UAAU,MAAyB,QAAQ,KAAW;AACpE,QAAM,SAAS,YAAY,GAAG;AAC9B,MAAI,CAAC,OAAO,IAAI;AACd,UAAM,IAAI,MAAM;AAAA,IAAuC,OAAO,SAAS,KAAK,MAAM,CAAC,EAAE;AAAA,EACvF;AACF;","names":[]}

package/dist/server/index.d.ts

@@ -3,11 +3,13 @@
  * pagina-reads). NOOIT importeren in client-componenten.
  */
 import "server-only";
-export { getAdminApp, getAdminAuth, getAdminDb } from "../firebase/admin";
-export { sanitizeRichText } from "./sanitize";
-export { jsonLdHtml } from "../blocks/builtins/jsonld";
-export { buildMetadata, buildJsonLd, buildSitemap, buildRobots, siteOrigin, businessJsonLd, breadcrumbListJsonLd, articleJsonLd, productJsonLd, openingHoursJsonLd, galleryJsonLd, videoObjectJsonLd, type BusinessInfo, } from "./seo";
-export { validateEnv, assertEnv, type EnvReport } from "./env";
-export { pathFromSlugs, listPublishedPages, getPublishedPageByPath, getPublishedPageByPathExpanded, getSiteSymbols, expandSymbols, getSiteCustomBlocks, getPublicSiteSettings, getDraftPageById, getDraftPageByPath, type StoredPage, } from "./pages";
-export { getBundle, getBundlePage, getBundleNews, getNewsPageData, type PublishedBundle, type BundleItem, } from "./bundle";
-export { siteLocales, parseLocaleSlugs, localizedPath, localizePage, localizeBlocks, pruneTranslations, TranslationsSchema, type Translations, type LocaleConfig, } from "../i18n/overlay";
+export { getAdminApp, getAdminDb } from "../firebase/admin.js";
+export { sanitizeRichText } from "./sanitize.js";
+export { jsonLdHtml } from "../blocks/builtins/jsonld.js";
+export { buildMetadata, buildJsonLd, buildSitemap, buildRobots, siteOrigin, businessJsonLd, breadcrumbListJsonLd, articleJsonLd, productJsonLd, openingHoursJsonLd, galleryJsonLd, videoObjectJsonLd, type BusinessInfo, } from "./seo.js";
+export { validateEnv, assertEnv, type EnvReport } from "./env.js";
+export { revalidatePOST } from "./revalidate.js";
+export { draftPOST } from "./draft.js";
+export { pathFromSlugs, listPublishedPages, getPublishedPageByPath, getPublishedPageByPathExpanded, getSiteSymbols, expandSymbols, getSiteCustomBlocks, getPublicSiteSettings, getDraftPageById, getDraftPageByPath, type StoredPage, } from "./pages.js";
+export { getBundle, getBundlePage, getBundleNews, getNewsPageData, type PublishedBundle, type BundleItem, } from "./bundle.js";
+export { siteLocales, parseLocaleSlugs, localizedPath, localizePage, localizeBlocks, pruneTranslations, TranslationsSchema, type Translations, type LocaleConfig, } from "../i18n/overlay.js";