Soziales Netz im Spiel: Feed, Werbung, Markt, Kalender und Gewerbe

Jeder Spieler waehlt sich ein Handle mit @, Unternehmen und Behoerden bekommen
eigene Profile, fuer die sie Mitarbeiter freigeben.

Verwaltet wird ueber dieselbe Anmeldung wie das Webhosting: wer am IC-Computer
als Anbieter angemeldet ist, richtet Unternehmensprofile ein. Damit gibt es
genau eine Stelle, an der Verwaltungsrechte haengen - ein zweites Rechtesystem
daneben waere eine zweite Stelle, an der man jemanden zu entziehen vergisst.

Bewusst getrennt: wer fuer ein Unternehmen schreiben darf, kann sich nicht
selbst zum Verwalter machen.

Behoben gegenueber dem Ausgangsstand:

  - Die Resource startete nicht. Eine harte Abhaengigkeit zeigte auf eine
    Resource, die es nicht gibt - das verhindert den Start vollstaendig.
  - Das Schema war gegenueber dem Code stehengeblieben: eine Tabelle fehlte
    ganz, sechs Spalten fehlten. Jede Registrierung eines Handles scheiterte
    deshalb mit einem SQL-Fehler. Zwei Migrationen ziehen das nach.
  - Die Identitaet kommt jetzt von ESX statt von einem Charaktersystem, das
    hier nicht laeuft. Ohne das findet das Mailsystem die Postfaecher nicht.
  - Das Fenster hatte keinen Schliessknopf, nur ESC. Im Computerfenster ist
    diese Taste aber schon vergeben.
  - Bilder laden mit referrerpolicy="no-referrer": Bilderdienste sperren
    Hotlinks anhand der Herkunft, und die eines NUI kennen sie nicht.
  - Der Schluessel fuer den Bilder-Upload steht nicht mehr im Code, sondern in
    der server.cfg (set bleeter_imgbb_key). Er gehoert nicht in ein oeffentlich
    einsehbares Repository.

Neu: Unternehmensprofile und Mitarbeiterfreigabe, ueber Netzwerkereignisse und
Konsolenbefehle. Dazu eine Oberflaeche im IC-Computer, die dieselbe Gestaltung
benutzt - die Stildatei wird dafuer mechanisch gekapselt, statt sie nachzubauen.

Enthaelt README.md mit Einrichtung, Rechten und den Fallstricken.

web-backend/routes/internal.js

@@ -0,0 +1,41 @@
+const express = require('express');
+const bcrypt = require('bcryptjs');
+const db = require('../db');
+require('dotenv').config();
+
+const router = express.Router();
+
+// Nur vom FiveM-Server erreichbar (interner Key)
+function requireInternal(req, res, next) {
+    const key = req.headers['x-internal-key'];
+    if (!key || key !== process.env.INTERNAL_API_KEY) {
+        return res.status(403).json({ error: 'forbidden' });
+    }
+    next();
+}
+
+// POST /internal/set-password  {charId, password}
+// Wird ingame vom Spieler ausgeloest; Passwort wird hier gehasht gespeichert.
+router.post('/set-password', requireInternal, async (req, res) => {
+    try {
+        const charId = String((req.body && req.body.charId) || '').trim();
+        const password = String((req.body && req.body.password) || '');
+        if (!charId) return res.status(400).json({ error: 'missing_char' });
+        if (password.length < 6) return res.status(400).json({ error: 'password_too_short' });
+
+        const account = await db.q1('SELECT id FROM bleeter_accounts WHERE char_id = ?', [charId]);
+        if (!account) return res.status(404).json({ error: 'no_account' });
+
+        const hash = await bcrypt.hash(password, 10);
+        await db.exec(
+            'UPDATE bleeter_accounts SET web_password_hash = ?, web_password_updated_at = NOW() WHERE id = ?',
+            [hash, account.id]
+        );
+        res.json({ ok: true });
+    } catch (err) {
+        console.error('[bleeter] set-password error', err.message);
+        res.status(500).json({ error: 'server_error' });
+    }
+});
+
+module.exports = router;