fix(erp-export): strict seit format, DB clock for settle window, movement index, one scope per key

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

ApiCore-Frontend/src/lib/api-keys/scopes.ts

@@ -1,5 +1,3 @@
-import type { ApiKey } from "./types";
-
 /** Berechtigungen, die ein API-Schlüssel tragen kann - wie API_KEY_SCOPES im Backend. */
 export const API_KEY_SCOPES = ["shop-sync:read", "shop-sync:write", "erp-inventory:read"] as const;
 
@@ -24,7 +22,36 @@ export function apiKeyScopeLabel(scope: string): string {
  * the server no longer creates such keys, the UI nudges towards two keys.
  * The ERP inventory scope counts as reading.
  */
-export function hasReadAndWriteScopes(apiKey: Pick<ApiKey, "scopes">): boolean {
+export function hasReadAndWriteScopes(apiKey: { scopes: readonly string[] }): boolean {
   const isWrite = (scope: string) => WRITE_SCOPES.includes(scope);
   return apiKey.scopes.some(isWrite) && apiKey.scopes.some((scope) => !isWrite(scope));
 }
+
+/** Welches System einen Schlüssel mit diesem Recht benutzt. */
+const CONSUMING_SYSTEM: Record<ApiKeyScope, string> = {
+  "shop-sync:read": "Wabenhain",
+  "shop-sync:write": "Wabenhain",
+  "erp-inventory:read": "ERPNext",
+};
+
+function consumingSystems(scopes: readonly string[]): string[] {
+  const systems = scopes
+    .map((scope) => (CONSUMING_SYSTEM as Record<string, string>)[scope])
+    .filter((system): system is string => system !== undefined);
+  return [...new Set(systems)];
+}
+
+/**
+ * Hinweis für einen älteren Schlüssel mit mehreren Rechten (der Server legt
+ * nur noch Schlüssel mit genau einem Recht an), oder null. Nennt das System,
+ * in dem die neuen Schlüssel einzutragen sind.
+ */
+export function separationAdvice(scopes: readonly string[]): string | null {
+  if (new Set(scopes).size < 2) return null;
+  const systems = consumingSystems(scopes);
+  const where = systems.length > 0 ? `in ${systems.join(" bzw. ")}` : "im angebundenen System";
+  const why = hasReadAndWriteScopes({ scopes })
+    ? "Dieser Schlüssel darf lesen und buchen. Sicherer sind zwei getrennte Schlüssel: einer zum Lesen, einer zum Buchen."
+    : "Dieser Schlüssel trägt mehrere Rechte. Sicherer ist je Recht ein eigener Schlüssel.";
+  return `${why} Neue Schlüssel anlegen, ${where} eintragen, dann diesen widerrufen.`;
+}