iobroker.eos-admin 7.10.3 → 7.10.4

package/INSTALL_TEST_V7.10.4.md

@@ -0,0 +1,9 @@
+# Installationstest 7.10.4
+
+1. Version 7.10.4 in einem neuen Arbeitsordner veröffentlichen bzw. installieren.
+2. EOS Admin mindestens 60 Sekunden ohne Start-/Stop-Schleife beobachten.
+3. Als Administrator App-Center, Lizenz, Simulation, Benutzer/Rechte, Expertenmodus, ioBroker Admin und XTerm prüfen.
+4. Als Installateur müssen diese Bereiche vollständig fehlen bzw. bei direktem Aufruf gesperrt sein.
+5. Als Endkunde müssen Datenpunkte sichtbar, aber nicht beschreibbar sein; Benutzer/Rechte und Passwortverwaltung dürfen nicht erreichbar sein.
+6. Backup-Instanz deaktivieren: der Navigationspunkt Sicherung muss verschwinden. Backup-Instanz aktivieren: der Punkt muss wieder erscheinen.
+7. Systemeinstellungen öffnen: die Karte Automatische Adapter-Updates darf nur dort sichtbar sein.

package/MERGE_UPDATE_README_V7.10.4.md

@@ -0,0 +1,3 @@
+# Merge-/Update-Hinweis 7.10.4
+
+Den bisherigen Arbeitsordner vollständig ersetzen oder die Repository-ZIP in einen leeren Ordner entpacken. Nicht über eine ältere Version kopieren, weil veraltete Browser-Bundles, Rollen-Skripte oder Paket-Lifecycle-Einträge sonst bestehen bleiben können. Danach zuerst `npm publish --dry-run` ausführen.

package/NEXOWATT_EOS_BUILD_INFO.json

@@ -1,11 +1,11 @@
 {
-  "version": "7.10.3",
+  "version": "7.10.4",
   "channel": "stable-latest",
   "baseFrontend": "validated 7.10.2 stable runtime with automatic adapter updates relocated into System Settings",
   "runtimeEntry": "v84",
   "releaseType": "stable-system-settings-auto-update-placement",
   "release": "stable-system-settings-auto-update-placement",
-  "label": "v7-10-3",
+  "label": "v7-10-4",
   "notes": [
     "Retains the validated 7.10.2 restart-loop and package-completeness fixes.",
     "The automatic NexoWatt adapter update card is no longer mounted in the normal overview or module pages.",
@@ -22,7 +22,7 @@
   "shellCacheVersion": 7101,
   "nativeShellVersion": 7101,
   "shellCacheTag": "7101",
-  "repositoryEntry": "nexowatt-eos-admin-repository-entry-v7-10-3.json",
+  "repositoryEntry": "nexowatt-eos-admin-repository-entry-v7-10-4.json",
   "autoUpdateCacheVersion": 7103,
   "autoUpdateCacheTag": "7103"
 }

package/NEXOWATT_EOS_PREBUILT_MANIFEST.json

@@ -1,9 +1,9 @@
 {
   "format": 1,
   "package": "iobroker.eos-admin",
-  "version": "7.10.3",
+  "version": "7.10.4",
   "algorithm": "sha256",
-  "fileCount": 1388,
+  "fileCount": 1391,
   "trackedRoots": [
     "src",
     "build",
@@ -552,7 +552,7 @@
     "adminWww/img/le.png": "ef5ebb7112926f646e781a326b639f56888fafe0891b9b000178091b4f8ed9dd",
     "adminWww/img/logo.svg": "1167118074ff84d8cef82ad80c38609719dacfde9417126e46966c1ec986534b",
     "adminWww/img/no-image.svg": "25fc382f4ad3a36f8a637cd966b9107368e1f11906d706102ad5f37db6f57f34",
-    "adminWww/index.html": "4cf338768e78f3050282508bd60fb964ca2ce7bd6153951ef6a87ece4af108b2",
+    "adminWww/index.html": "9dcbe4023a66ececd427066d57811c8610d2eb95e4d0a64aab4800a832563f7e",
     "adminWww/js/adapter-settings.js": "fb2e538a3385899f7fd47275ec588051c735d8f778a44b89f40f5eb820a31dbc",
     "adminWww/js/eos-account-management.js": "dbba398605b2391ac1a7ec97cf7eb84da7f929ea16bfb6761750cd700a687fbe",
     "adminWww/js/eos-assistant.js": "be43f49fd5310d2962365035556c37109d4868856e874e1f964c4b2f05bb6beb",
@@ -740,6 +740,7 @@
     "adminWww/logo512.png": "a7e6375e6f4e1f5e09f167af81eca69626e4baf4762a07e41b838bc4786f0519",
     "adminWww/manifest.json": "bfa868e65ffed57405e0091cdb3250a6b9265ba3b0831ca3f14e77acb9f255d7",
     "adminWww/mf-manifest.json": "737e829bad795bdc781cd820ea513d3e09345e23762e4054e1ece0c003160d3c",
+    "adminWww/nexowatt-role-security.js": "920868a8dd283b485f90c0946a4ded9cb9fbd1a4f95c5429fea9b1436feb74e1",
     "adminWww/remoteEntry-v84.js": "3836e43036d446c7c549ca1e5b1211a452b50a2206bc197746840cc95e71f95d",
     "adminWww/remoteEntry.js": "9e3c715c9adb33c77f0eeefbd80510f97ebe1b18d8f11d43a2332ce89cd35e20",
     "adminWww/robots.txt": "90d24bc3bf698ac1e173739502298ccca72adf1f564fab05f484b8c48d1cadd2",
@@ -785,6 +786,7 @@
     "build/lib/eosAutoUpdate.js.map": "d5ad4227eb6433921938c97b64ca781cde4c42a77682c1046dea9fda4d77b266",
     "build/lib/eosRequestSecurity.js": "c9193759d0ca2f5221d31688b4ab3b0ec21aa2f4862443c0171e608adb9858a0",
     "build/lib/eosRequestSecurity.js.map": "3e6512682f0d7a1169fcab9d3d167f95e02e38774f7e47688ce0320e1509c4d5",
+    "build/lib/eosRoleSecurity.js": "6e5e223c40b43d3eee003f4ab150099babd04f01b9629ccdf9d4d121a7e4f4f7",
     "build/lib/objectFixes.js": "ce095d293991b45bd4bfdb4a256e33a2ba74556868f07040e04b666b0757016d",
     "build/lib/objectFixes.js.map": "27f9d305b48ebc92e3ccd1b7a944bccec366a7a38c63e003bf164f03fe898790",
     "build/lib/testPassword.js": "9d2d4fcbd892db0864fb09db2c2142e3743908d70c53fc644826f4a8f492cd93",
@@ -795,7 +797,7 @@
     "build/lib/utils.js.map": "74238d0d82cc28d41c4f627b73793f6cda26b338ef1bd97916b6417783949e29",
     "build/lib/web.js": "8de94dffdd7c70be6b537c111691c831116338b311f7569739de57f9a32e071f",
     "build/lib/web.js.map": "5fb9f337f3a27c04bb4303cb61ffa5f0da857299a7d2890609eb5f55f24f1789",
-    "build/main.js": "f69b219dbafda80fe73ecb8638eed68f01e3e6f15bd0791b2278779ab9902156",
+    "build/main.js": "ed9f996f6240d2663a2b641e8965d42aeab75403efe2c2b0a772885f28b6c0b5",
     "build/main.js.map": "1cd3887da9b3d4061c59b6ad497c536c6c9a79938b10bbddf7128a1e7930dfbd",
     "public/404.html": "6c6458ba2bc49b0c27973293e461262bf697607a8e71ab716227553f6d7005eb",
     "public/logTemplate.html": "fc371fc8e4d7ef57c0ca76a405508eced038523464ff65b6cae04dae6144fd54",
@@ -1323,7 +1325,7 @@
     "src-admin/src/tabs/Objects.tsx": "834773b07b613b96f58d053496ed1de0e0b8cbf987a3b33314c85e8495a836f6",
     "src-admin/src/tabs/Users.tsx": "45ed37e57b66f7e23eb465aef9ad9db55613b40bf44530ab81d6206806de102d",
     "src-admin/src/types.d.ts": "3cfac48af5f8416b55b89c0daca78499dbbd402c0b44cc661112b76953ba3344",
-    "src-admin/src/version.json": "7513428c66d4dc8f6c1910d07e4dd4f35ea2d0707816bb774a15f9137cd736b5",
+    "src-admin/src/version.json": "47f62d99d6da117043311a6484e38f40fbfb096eb192478c618c0a3035df8cde",
     "src/i18n/de.json": "85d4ecfedf15d78984922b05377063b808ae8c5a75944af323e72a2c3a483d50",
     "src/i18n/en.json": "6a0156a1b026903821d395ef2ceef845e90531f323a218f97f5abefaabb46a23",
     "src/i18n/es.json": "54369f8044dfa222779849d2f158eb100188a43816d6c42a64575122cb528a30",
@@ -1378,7 +1380,7 @@
     "tools/nexowatt-internal-reserve-selftest.cjs": "5d90e42b2f1d4aac1039fce14bf18a952e9c5665203e8caae112737c5dcd265e",
     "tools/nexowatt-login-layout-selftest.cjs": "4d1aa1f58a8f117ab7485d883c75603df277043b838dcaa0de3143acb6d885ab",
     "tools/nexowatt-manual-write-policy-selftest.cjs": "a41057610972d681120bf35e0321029facc08b098c79da9b131980f80bd3fdce",
-    "tools/nexowatt-merge-update-selftest.cjs": "26ae0f257c375598441bba70ca59aef93d522140df9f04c879c757b9446b5f1f",
+    "tools/nexowatt-merge-update-selftest.cjs": "46d269abc9cfc64299823088824bde1739829d05aa2fdd21cd1528e499bb2381",
     "tools/nexowatt-modern-ui-selftest.cjs": "e0caf8244ff5e3431052f9cb5e2b59a64a50c92ca37ec51e286200e1ed37edc0",
     "tools/nexowatt-module-popup-selftest.cjs": "31f02e8cf0bfd61d7769e1095c93887a34cfbbd76a9805ef4931cea6dff53ddf",
     "tools/nexowatt-native-shell-selftest.cjs": "13aabd3a19f0c0422bbc1c676718685b77c88a526167a7b511fa6c9ab2ac860c",
@@ -1392,18 +1394,19 @@
     "tools/nexowatt-release-defaults-selftest.cjs": "3e3c96ca774200461978c546d1a937cbae18d7f11497ed84dda639c2358f6e16",
     "tools/nexowatt-repair-eos-admin-update.cjs": "f28c1999b0f75139e582770ad649d17d11f9e909ac49d13c31be5fa5b36253e3",
     "tools/nexowatt-role-access-selftest.cjs": "5d88eaeac77ff1460f28caca68a197b4cd820fbc3cf5194ff3bff036d4b20814",
+    "tools/nexowatt-role-security-selftest.cjs": "d98b1eef1bbe7259a9015bcc7bca1b296a1fe4bb8df1a930e2e3f71c2665ddff",
     "tools/nexowatt-runtime-cleanup-selftest.cjs": "8c5a5aaf51290436ceef40f7c5a28e602a428558582ee54bb94d57ed70cc3662",
-    "tools/nexowatt-stability-check.cjs": "d9366597a16be83f41925f20983b8826663b6c9b925bca18ffa2dc24b0414c89",
+    "tools/nexowatt-stability-check.cjs": "fb968bcaf388cbf2b8a61b7b4cf7b251970e97f914db6f2c90a74d73aa7ce18b",
     "tools/nexowatt-stable-v7101-selftest.cjs": "817d09861ef29c52a67f64ec5b8f4ad4654ce7e6486eded786bb16f3c773eaf8",
     "tools/nexowatt-stable-v7102-selftest.cjs": "75baab5f8069569ad4896e5018f3c5ccbbda2c2297aca5c5146bce94f9cf795d",
-    "tools/nexowatt-stable-v7103-selftest.cjs": "166d4bfc8c1e9ecad5e04dbcf8174cad4bd6d22eebe373376d7d888a77b31662",
+    "tools/nexowatt-stable-v7103-selftest.cjs": "db438580a443547ff7ceba821df940e59ba1e10105248653414a94a81fe3642e",
     "tools/nexowatt-stable-v94-selftest.cjs": "5226881b3ad8918c67921ffb37716490f053ec88e7c0f24827a5eda7c75d4019",
     "tools/nexowatt-stable-v95-selftest.cjs": "0b15fcd329eb2994e64c407ab04eaafab7c38c4688136c197bf9601e1c35ee07",
     "tools/nexowatt-stable-v97-selftest.cjs": "4f50ad6e53b8de7eb045d56657cccd846883eacd8a877d51240d78153ba53d80",
     "tools/nexowatt-sync-release-version.cjs": "2478d714533ece21a275071ef6e5467f73c2fa33d0a63d76f408dc048a86c6f6",
     "tools/nexowatt-ui-overview-runtime-selftest.cjs": "838a8f44f4ba322424e35ebbb01e4a55bb9cc90b8625033086969114744386b4",
     "tools/nexowatt-update-selftest.cjs": "c38c454135f98de683de8fa15fc4b9032063823f0f55fcfc8b675f551fd342f5",
-    "tools/nexowatt-validate-package.cjs": "da7388459745d6eedebee5ed9c4821e89c75ea8850f59eeb0fb744621fc202e3",
+    "tools/nexowatt-validate-package.cjs": "f918335d1add07777ee8998a66f207df7c30479aceec6c401ec10a72a59a98fe",
     "tools/nexowatt-value-column-selftest.cjs": "29d0a9bbea05a87dcf8ee09c86cc81acb6c59e1e34801890768f5e342083871a",
     "tools/nexowatt-version-sync-selftest.cjs": "65d7c8634b6d5581f337365e13a1a9432c7d47dbf5aebc237886730c32ba5e94",
     "tsconfig.build.json": "d3a31263975a13de77b97af9ff246d89931f3abb594047be2739cf11378b97f5",

package/{PUBLISH_STABLE_V7.10.3.md → PUBLISH_STABLE_V7.10.4.md}

@@ -1,4 +1,4 @@
-# NPM-Veröffentlichung 7.10.3
+# NPM-Veröffentlichung 7.10.4
 
 Aus einer frisch entpackten Repository-ZIP ausführen:
 

package/README.md

@@ -13,9 +13,9 @@ Standard-Port:          8081
 
 Damit überschreibt der Adapter den offiziellen `admin`-Adapter nicht mehr. Die alte ioBroker-Admin-Oberfläche kann parallel vorhanden bleiben, während NexoWatt-Systeme über `eos-admin.0` die EOS-Oberfläche nutzen.
 
-## Aktueller Stable-Verkaufskandidat 7.10.3
+## Aktueller Stable-Verkaufskandidat 7.10.4
 
-Version 7.10.3 übernimmt den validierten und absturzfreien Stand 7.10.2. Die Einstellung **Automatische Adapter-Updates** liegt jetzt ausschließlich in den **Systemeinstellungen** hinter dem Schraubenschlüssel. Auf Übersicht, Module und allen anderen Hauptseiten wird die Karte nicht mehr angezeigt. Die restart-sichere Updateverwaltung, der verzögerte Repository-Abgleich und die vollständige Backend-Paketprüfung bleiben unverändert.
+Version 7.10.4 übernimmt den validierten und absturzfreien Stand 7.10.2. Die Einstellung **Automatische Adapter-Updates** liegt jetzt ausschließlich in den **Systemeinstellungen** hinter dem Schraubenschlüssel. Auf Übersicht, Module und allen anderen Hauptseiten wird die Karte nicht mehr angezeigt. Die restart-sichere Updateverwaltung, der verzögerte Repository-Abgleich und die vollständige Backend-Paketprüfung bleiben unverändert.
 
 Verwaltete Installateur- und Endkundenkonten verwenden das Startpasswort `nexowatt`. Nach der ersten Anmeldung beziehungsweise nach einem Reset muss unmittelbar ein persönliches Passwort vergeben werden. Der Reset und die persönliche Passwortvergabe schreiben das reale ioBroker-Benutzerkennwort; EOS-Metadaten werden davon getrennt aktualisiert.
 
@@ -33,7 +33,7 @@ Minimaler Repository-Eintrag:
 {
   "eos-admin": {
     "name": "eos-admin",
-    "version": "7.10.3",
+    "version": "7.10.4",
     "title": "NexoWatt EOS Admin",
     "desc": {
       "de": "NexoWatt EOS Administrationsoberfläche als eigenständiger Adapter.",
@@ -141,7 +141,7 @@ npm publish --dry-run --tag latest
 npm publish --tag latest
 ```
 
-Die Version muss vor jedem erneuten Publish erhöht werden. Für 7.10.3 wird direkt aus der vollständig geprüften Repository-ZIP veröffentlicht; `npm publish` benötigt dabei weiterhin weder `tsc` noch `tsx`.
+Die Version muss vor jedem erneuten Publish erhöht werden. Für 7.10.4 wird direkt aus der vollständig geprüften Repository-ZIP veröffentlicht; `npm publish` benötigt dabei weiterhin weder `tsc` noch `tsx`.
 
 ## Lizenz
 

package/README_STABILITY_V7.10.4.md

@@ -0,0 +1,12 @@
+# NexoWatt EOS Admin 7.10.4 – Stabilitäts- und Sicherheitsstand
+
+Version 7.10.4 baut auf dem absturz- und publish-sicheren Stand 7.10.3 auf. Die automatische Update-Karte bleibt ausschließlich in den Systemeinstellungen hinter dem Schraubenschlüssel.
+
+Zusätzlich gilt eine rollenbasierte Sicherheitsgrenze:
+
+- Administrator: vollständiger Zugriff einschließlich App-Center, Lizenz, Simulation, Expertenmodus, Benutzer/Rechte, ioBroker Admin und XTerm.
+- Installateur: technische Bedienoberfläche ohne App-Center, Lizenz, Simulation, Expertenmodus, Benutzer/Rechte, ioBroker Admin und XTerm.
+- Endkunde: Cockpit, Smart Home und Datenpunkte mit Nur-Lesezugriff; keine Schreib-, Rechte-, Passwort- oder Expertenfunktionen.
+- Sicherung: Navigation nur bei installierter und aktivierter Backup-Instanz.
+
+Die Sperren werden nicht nur optisch, sondern zusätzlich im EOS-HTTP-Guard und über die Endkunden-ACLs durchgesetzt.

package/RELEASE_ACCEPTANCE_V7.10.4.md

@@ -0,0 +1,3 @@
+# Release Acceptance 7.10.4
+
+Akzeptiert, wenn Paketvalidierung, Stabilitätstests, Prebuilt-Manifest, Backend-Runtime, Rollen-Selbsttest und `npm publish --dry-run` erfolgreich sind. Zusätzlich müssen Administrator-, Installateur- und Endkundenrechte im Feldtest der dokumentierten Rollenmatrix entsprechen.

package/RELEASE_NOTES_V7.10.4.md

@@ -0,0 +1,11 @@
+# Release Notes 7.10.4
+
+- App-Center, Lizenzverwaltung und Simulation auf Administratoren begrenzt.
+- Expertenmodus und Expertenkopf für Installateur und Endkunde entfernt.
+- Benutzer-, Gruppen-, Rechte- und Passwortverwaltung für Nicht-Administratoren gesperrt.
+- ioBroker Admin und XTerm für Installateur und Endkunde ausgeblendet und serverseitig abgefangen.
+- Endkunden-Datenpunkte sichtbar, aber nur lesbar; Schreibaufrufe werden blockiert.
+- Sicherungsnavigation nur bei aktiver Backup-Instanz.
+- Bereits bestehende privilegierte UI-Sitzungen werden bei Nicht-Administratoren nicht weiterverwendet.
+- Update-Karte weiterhin ausschließlich unter Systemeinstellungen.
+- Absturz-, Runtime- und dependency-freier NPM-Publish-Schutz aus 7.10.2/7.10.3 beibehalten.

package/adminWww/index.html

@@ -177,5 +177,6 @@
         <div id="root"></div>
 <script defer src="static/js/nexowatt-stable-login.js?v=7101"></script>
 <script defer src="static/js/nexowatt-stable-v7101.js?v=7101"></script>
+<script defer src="./nexowatt-role-security.js?v=7104"></script>
 </body>
 </html>

package/adminWww/nexowatt-role-security.js

@@ -0,0 +1,336 @@
+(() => {
+  "use strict";
+
+  const VERSION = "7.10.4";
+  const HIDDEN = "data-eos-role-hidden";
+  const READONLY = "data-eos-readonly";
+  const state = { role: "unknown", backupActive: null, user: "", appliedAt: 0 };
+
+  const adminOnlyTokens = [
+    "app-center", "app center", "appcenter", "lizenz", "license", "simulation", "simulator",
+    "expertenmodus", "expert mode", "xterm", "shell-konsole", "shell console", "zugänge & rechte",
+    "zugaenge & rechte", "access & rights", "user management", "benutzerverwaltung"
+  ];
+  const backupTokens = ["sicherung", "backup", "backitup"];
+  const dataPointTokens = ["datenpunkte", "datapoints", "objects", "objekte"];
+  const dangerousWriteTokens = [
+    "wert schreiben", "wert setzen", "schreiben", "write value", "set value", "setstate", "speichern",
+    "save", "anwenden", "apply", "löschen", "delete", "bearbeiten", "edit", "stift"
+  ];
+
+  const normalize = value => String(value == null ? "" : value).trim().toLowerCase();
+  const textOf = el => normalize([
+    el && el.textContent,
+    el && el.getAttribute && el.getAttribute("title"),
+    el && el.getAttribute && el.getAttribute("aria-label"),
+    el && el.getAttribute && el.getAttribute("data-testid"),
+    el && el.getAttribute && el.getAttribute("href"),
+    el && el.getAttribute && el.getAttribute("to"),
+    el && el.id,
+    el && el.className && typeof el.className === "string" ? el.className : ""
+  ].filter(Boolean).join(" "));
+
+  function classify(value) {
+    const text = normalize(value);
+    if (!text) return "unknown";
+    if (/^(?:system\.user\.)?admin(?:istrator)?$/.test(text) || /(?:^|[.:/_ -])admin(?:istrator)?(?:$|[.:/_ -])/.test(text)) return "admin";
+    if (/installer|installateur|inbetriebnahme/.test(text)) return "installer";
+    if (/endkunde|customer|smarthome|guest|gast|(?:^|\s)user(?:$|\s)/.test(text)) return "customer";
+    return "unknown";
+  }
+
+  function roleFromGlobals() {
+    const candidates = [
+      window.__NEXOWATT_ROLE__, window.__EOS_ROLE__, window.eosRole,
+      window.currentUser && window.currentUser.role,
+      window.user && window.user.role,
+      document.documentElement.getAttribute("data-role"),
+      document.body && document.body.getAttribute("data-role")
+    ];
+    for (const value of candidates) {
+      const role = classify(value);
+      if (role !== "unknown") return role;
+    }
+    return "unknown";
+  }
+
+  function roleFromStorage() {
+    const stores = [window.sessionStorage, window.localStorage];
+    const keys = ["eos.role", "eosRole", "role", "userRole", "nexowatt.role", "auth.role", "currentRole"];
+    for (const store of stores) {
+      try {
+        for (const key of keys) {
+          const role = classify(store.getItem(key));
+          if (role !== "unknown") return role;
+        }
+      } catch { /* storage can be disabled */ }
+    }
+    return "unknown";
+  }
+
+  function roleFromDom() {
+    const selectors = [
+      "[data-role]", "[data-user-role]", "[data-current-role]", "[aria-label*='Rolle' i]",
+      "[aria-label*='role' i]", "header", "nav", ".MuiAppBar-root"
+    ];
+    for (const selector of selectors) {
+      for (const el of document.querySelectorAll(selector)) {
+        const value = [
+          el.getAttribute && el.getAttribute("data-role"),
+          el.getAttribute && el.getAttribute("data-user-role"),
+          el.getAttribute && el.getAttribute("data-current-role"),
+          el.getAttribute && el.getAttribute("aria-label"),
+          el.textContent
+        ].filter(Boolean).join(" ");
+        const role = classify(value);
+        if (role !== "unknown") return role;
+      }
+    }
+    return "unknown";
+  }
+
+  function findDisplayedUser() {
+    const candidates = document.querySelectorAll("header *, nav *, .MuiAppBar-root *");
+    for (const el of candidates) {
+      const text = normalize(el.textContent);
+      if (!text || text.length > 80) continue;
+      if (/\b(admin|installer|user|guest|gast|endkunde)\b/.test(text)) return text;
+    }
+    return "";
+  }
+
+  async function fetchSecurityStatus() {
+    try {
+      const user = encodeURIComponent(findDisplayedUser());
+      const response = await fetch(`/api/nexowatt-eos/security/status?user=${user}&v=${VERSION}`, {
+        credentials: "same-origin", cache: "no-store", headers: { "Accept": "application/json" }
+      });
+      if (!response.ok) return null;
+      return await response.json();
+    } catch {
+      return null;
+    }
+  }
+
+  function isAdmin() { return state.role === "admin"; }
+  function isCustomer() { return state.role === "customer"; }
+
+  function hide(el, reason) {
+    if (!el || el === document.body || el === document.documentElement) return;
+    if (!el.hasAttribute(HIDDEN)) {
+      el.setAttribute(HIDDEN, reason || "restricted");
+      el.setAttribute("aria-hidden", "true");
+      el.style.setProperty("display", "none", "important");
+    }
+  }
+
+  function unhide(el) {
+    if (!el || !el.hasAttribute(HIDDEN)) return;
+    el.removeAttribute(HIDDEN);
+    el.removeAttribute("aria-hidden");
+    el.style.removeProperty("display");
+  }
+
+  function closestAction(el) {
+    return el && el.closest && el.closest("a,button,[role='button'],[role='tab'],li,.MuiButtonBase-root") || el;
+  }
+
+  function includesAny(text, tokens) {
+    return tokens.some(token => text.includes(token));
+  }
+
+  function applyNavigationPolicy() {
+    const actions = document.querySelectorAll("a,button,[role='button'],[role='tab'],li,.MuiButtonBase-root");
+    for (const raw of actions) {
+      const el = closestAction(raw);
+      const text = textOf(el);
+      if (!text) continue;
+
+      const adminOnly = includesAny(text, adminOnlyTokens) ||
+        (/\badmin\b/.test(text) && /(?:8081|adapter=admin|io.?broker)/.test(text));
+      const backup = includesAny(text, backupTokens);
+
+      if (!isAdmin() && adminOnly) hide(el, "admin-only");
+      else if (adminOnly) unhide(el);
+
+      if (backup && state.backupActive === false) hide(el, "backup-inactive");
+      else if (backup && state.backupActive === true && (isAdmin() || !adminOnly)) unhide(el);
+    }
+
+    if (!isAdmin()) {
+      for (const el of document.querySelectorAll("[data-testid*='expert' i],[class*='expert' i],[id*='expert' i],[title*='Experten' i],[aria-label*='Experten' i],[title*='Expert' i],[aria-label*='Expert' i]")) {
+        hide(closestAction(el), "admin-only-expert");
+      }
+    }
+  }
+
+  function isDataPointPage() {
+    const route = normalize(location.pathname + " " + location.hash + " " + document.title);
+    if (includesAny(route, dataPointTokens)) return true;
+    const selected = document.querySelector("[aria-selected='true'],.Mui-selected,.active");
+    return selected ? includesAny(textOf(selected), dataPointTokens) : false;
+  }
+
+  function makeDatapointsReadOnly() {
+    const root = document.querySelector("main") || document.body;
+    if (!isCustomer() || !isDataPointPage()) {
+      root && root.removeAttribute(READONLY);
+      return;
+    }
+    root.setAttribute(READONLY, "true");
+    for (const el of root.querySelectorAll("input,textarea,select,[contenteditable='true'],button,[role='button']")) {
+      const text = textOf(el);
+      const isSearch = /filter|suche|search|refresh|aktualisieren|reload|sort|spalte|column|zurück|back/.test(text) ||
+        /search/i.test(el.getAttribute && el.getAttribute("type") || "") ||
+        /filter|search/i.test(el.getAttribute && el.getAttribute("placeholder") || "");
+      const likelyWriter = includesAny(text, dangerousWriteTokens) ||
+        /value|wert|write|edit|save|delete|setstate|state-value/i.test(text) ||
+        (el.matches("input,textarea,select,[contenteditable='true']") && !isSearch);
+      if (likelyWriter && !isSearch) {
+        el.setAttribute("aria-disabled", "true");
+        el.setAttribute("tabindex", "-1");
+        if ("disabled" in el) el.disabled = true;
+        if (el.getAttribute("contenteditable") === "true") el.setAttribute("contenteditable", "false");
+        el.style.setProperty("pointer-events", "none", "important");
+        el.style.setProperty("opacity", "0.62", "important");
+      }
+    }
+  }
+
+  function currentRouteRestricted() {
+    const route = normalize(location.pathname + " " + location.search + " " + location.hash);
+    return includesAny(route, adminOnlyTokens);
+  }
+
+  function renderForbidden() {
+    if (document.getElementById("eos-role-forbidden")) return;
+    const overlay = document.createElement("div");
+    overlay.id = "eos-role-forbidden";
+    overlay.innerHTML = `<div class="eos-role-forbidden-card"><strong>Zugriff gesperrt</strong><span>App-Center, Lizenz, Simulation und Expertenmodus sind ausschließlich für Administratoren freigegeben.</span><button type="button">Zurück zum Cockpit</button></div>`;
+    overlay.querySelector("button").addEventListener("click", () => {
+      location.hash = "#/";
+      try { history.replaceState(null, "", location.pathname); } catch { /* ignore */ }
+      overlay.remove();
+    });
+    document.body.appendChild(overlay);
+  }
+
+  function guardCurrentRoute() {
+    if (!isAdmin() && currentRouteRestricted()) renderForbidden();
+    else document.getElementById("eos-role-forbidden")?.remove();
+  }
+
+  function clearExpertMode() {
+    if (isAdmin()) return;
+    const keys = ["expertMode", "expert-mode", "eos.expert", "eosExpertMode", "adminExpertMode"];
+    for (const store of [window.localStorage, window.sessionStorage]) {
+      try { keys.forEach(key => store.removeItem(key)); } catch { /* ignore */ }
+    }
+    window.__NEXOWATT_EXPERT_MODE__ = false;
+  }
+
+  function scrubPrivilegedUiSessions() {
+    if (isAdmin()) return;
+    const marker = "eos.nonAdminUiLogout.v7104";
+    try {
+      if (sessionStorage.getItem(marker)) return;
+      sessionStorage.setItem(marker, "1");
+    } catch { /* continue */ }
+    const protocol = location.protocol === "https:" ? "https:" : "http:";
+    const host = location.hostname;
+    for (const port of [8082, 8188]) {
+      const iframe = document.createElement("iframe");
+      iframe.hidden = true;
+      iframe.setAttribute("aria-hidden", "true");
+      iframe.src = `${protocol}//${host}:${port}/logout?source=eos-role-security&v=${VERSION}`;
+      document.body.appendChild(iframe);
+      setTimeout(() => iframe.remove(), 12000);
+    }
+  }
+
+  function apply() {
+    state.appliedAt = Date.now();
+    document.documentElement.setAttribute("data-eos-effective-role", state.role);
+    applyNavigationPolicy();
+    makeDatapointsReadOnly();
+    clearExpertMode();
+    guardCurrentRoute();
+  }
+
+  function installEventGuards() {
+    document.addEventListener("click", event => {
+      if (isAdmin()) return;
+      const action = closestAction(event.target);
+      const text = textOf(action);
+      if (includesAny(text, adminOnlyTokens) || (/\badmin\b/.test(text) && /(?:8081|adapter=admin|io.?broker)/.test(text))) {
+        event.preventDefault(); event.stopImmediatePropagation(); renderForbidden(); return;
+      }
+      if (isCustomer() && isDataPointPage() && includesAny(text, dangerousWriteTokens)) {
+        event.preventDefault(); event.stopImmediatePropagation(); return;
+      }
+    }, true);
+    document.addEventListener("submit", event => {
+      if (isCustomer() && isDataPointPage()) { event.preventDefault(); event.stopImmediatePropagation(); }
+    }, true);
+    for (const name of ["pushState", "replaceState"]) {
+      const original = history[name];
+      history[name] = function(...args) {
+        const result = original.apply(this, args);
+        queueMicrotask(apply);
+        return result;
+      };
+    }
+    addEventListener("hashchange", apply);
+    addEventListener("popstate", apply);
+  }
+
+  function injectStyles() {
+    if (document.getElementById("eos-role-security-style")) return;
+    const style = document.createElement("style");
+    style.id = "eos-role-security-style";
+    style.textContent = `
+      [${HIDDEN}] { display:none !important; }
+      #eos-role-forbidden { position:fixed; inset:0; z-index:2147483647; display:grid; place-items:center; padding:24px; background:rgba(1,17,28,.96); color:#eefaff; font-family:Arial,sans-serif; }
+      .eos-role-forbidden-card { width:min(620px,100%); display:grid; gap:18px; padding:30px; border:1px solid #16d49d; border-radius:18px; background:#072333; box-shadow:0 20px 80px rgba(0,0,0,.45); }
+      .eos-role-forbidden-card strong { color:#24e6ad; font-size:28px; }
+      .eos-role-forbidden-card span { line-height:1.55; }
+      .eos-role-forbidden-card button { justify-self:start; padding:10px 18px; border:1px solid #16d49d; border-radius:10px; color:#021911; background:#24e6ad; font-weight:700; cursor:pointer; }
+      [${READONLY}="true"]::before { content:"Nur-Lesezugriff für Endkunden"; position:sticky; top:0; z-index:10; display:block; margin:8px; padding:8px 12px; border:1px solid #1aa57d; border-radius:9px; background:#07342b; color:#cffff0; font:600 13px Arial,sans-serif; }
+    `;
+    document.head.appendChild(style);
+  }
+
+  async function init() {
+    injectStyles();
+    let role = roleFromGlobals();
+    if (role === "unknown") role = roleFromStorage();
+    if (role === "unknown") role = roleFromDom();
+    const status = await fetchSecurityStatus();
+    if (status) {
+      const serverRole = classify(status.role);
+      if (serverRole !== "unknown") role = serverRole;
+      if (typeof status.backupActive === "boolean") state.backupActive = status.backupActive;
+      state.user = status.user || "";
+    }
+    if (role === "unknown") role = "customer"; // least privilege until authenticated role is known
+    state.role = role;
+    try { sessionStorage.setItem("eos.role.effective", role); } catch { /* ignore */ }
+    installEventGuards();
+    apply();
+    scrubPrivilegedUiSessions();
+    const observer = new MutationObserver(() => {
+      clearTimeout(observer._timer);
+      observer._timer = setTimeout(apply, 40);
+    });
+    observer.observe(document.documentElement, { childList: true, subtree: true, attributes: true, attributeFilter: ["class", "aria-selected", "href"] });
+    setInterval(async () => {
+      const refreshed = await fetchSecurityStatus();
+      if (refreshed && typeof refreshed.backupActive === "boolean" && refreshed.backupActive !== state.backupActive) {
+        state.backupActive = refreshed.backupActive; apply();
+      }
+    }, 10000);
+  }
+
+  if (document.readyState === "loading") document.addEventListener("DOMContentLoaded", init, { once: true });
+  else void init();
+})();