Passwort-Anmeldung: Provider, Formulare, drei Zustaende der Shell

app/passwort-aendern/page.tsx

@@ -0,0 +1,57 @@
+import { redirect } from "next/navigation";
+import { PasswortAendernFormular } from "@/components/auth/PasswortAendernFormular";
+import { CARD_CLASS } from "@/components/ui/Card";
+import { currentUserId } from "@/lib/auth/session";
+import { sql, withUser } from "@/lib/db";
+
+// Diese Seite liegt **ausserhalb** der Gruppe (app), und das ist der Punkt.
+//
+// app/(app)/layout.tsx lässt nur durch, wer aktive HR-Person ist — und genau
+// das ist man nicht, solange ein Passwortwechsel aussteht: is_hr_user() liefert
+// dann false (Migration 20260908120000). Läge diese Seite unter (app), wäre sie
+// für die einzigen Menschen gesperrt, die sie brauchen.
+//
+// Angemeldet sein muss man trotzdem: darum kümmert sich proxy.ts, der jede
+// Adresse ausser /login und /api/auth hinter eine Sitzung stellt. Die Prüfung
+// unten ist die zweite Linie für den Fall, dass jemand den Matcher ändert.
+
+export const metadata = { title: "Passwort ändern" };
+
+export default async function PasswortAendernPage() {
+  const userId = await currentUserId();
+  if (!userId) redirect("/login");
+
+  // Erzwungen oder freiwillig — davon hängt nur die Beschriftung ab und ob es
+  // einen Weg zurück gibt.
+  //
+  // Ob dieses Konto überhaupt ein Passwort hat, wird hier *nicht* gefragt:
+  // app_passwoerter ist für die Anwendungsrolle unerreichbar (Policy
+  // `using (false)`), und eine Auskunftsfunktion nur für diese Anzeige wäre
+  // eine Funktion zu viel. Wer kein Passwort hat, bekommt beim Absenden die
+  // Meldung aus app_passwort_aendern().
+  const erzwungen = await withUser(userId, async (tx) => {
+    const ergebnis = await sql<{ wechseln: boolean }>`select app_muss_passwort_wechseln() as wechseln`.execute(tx);
+    return ergebnis.rows[0]?.wechseln === true;
+  });
+
+  return (
+    <main className="flex min-h-dvh items-center justify-center px-6 py-12">
+      <div className="w-full max-w-sm">
+        <h1 className="text-2xl font-extrabold tracking-tight text-ink">Passwort ändern</h1>
+
+        {erzwungen ? (
+          <p className="mt-1.5 text-sm text-ink-muted">
+            Ihr Zugang wurde mit einem gemeinsamen Startpasswort eingerichtet. Solange es gilt, bleiben alle
+            Personaldaten verschlossen — bitte vergeben Sie jetzt ein eigenes.
+          </p>
+        ) : (
+          <p className="mt-1.5 text-sm text-ink-muted">Sie können hier jederzeit ein neues Passwort vergeben.</p>
+        )}
+
+        <div className={`mt-7 p-5 ${CARD_CLASS}`}>
+          <PasswortAendernFormular erzwungen={erzwungen} />
+        </div>
+      </div>
+    </main>
+  );
+}