diff --git a/README.md b/README.md index 2d16120..8096ce0 100644 --- a/README.md +++ b/README.md @@ -477,6 +477,17 @@ Eine ausgestellte Rechnung wird nie gelöscht oder geändert. Wird eine Bestellu ERPNext holt Stornorechnungen über `GET /api/erp/rechnungen?seit=…&art=storno` und bucht sie als Rechnungskorrektur gegen die Ausgangsrechnung; die PDFs liegen unter `/api/erp/rechnungen/ST-…/pdf`. +### Kunden und Firmenanfragen im CRM (ERPNext) + +Zwei weitere nur lesende Endpunkte mit demselben `ERP_EXPORT_TOKEN` (`lib/erp-crm-export.ts`): + +| Endpunkt | Inhalt | In ERPNext | +|---|---|---| +| `GET /api/erp/kunden?nach=&limit=<1-200>` | Kundenkonten (ohne Admins, ohne Passwort/2FA), Standardadresse | Kunde in der Gruppe **Privat** mit Kontakt und Adresse | +| `GET /api/erp/anfragen?nach=&limit=<1-200>` | Firmenanfragen der Geschäftskunden-Seite | Kunde (Firma) in der Gruppe **Gewerblich** mit Ansprechpartner, je Anfrage eine Chance | + +ERPNext holt bei jedem Lauf die vollständige Liste (Cursor `nach` = letzte ID der vorigen Seite, `next` in der Antwort). Ein im Shop gelöschtes Konto ohne Rechnung verschwindet dadurch auch aus ERPNext; mit Rechnung bleibt der Kunde wegen der Aufbewahrungspflicht stehen. + ## Health-Endpunkte Zwei getrennte Endpunkte, bewusst mit unterschiedlicher Aufgabe: diff --git a/src/app/api/erp/anfragen/route.ts b/src/app/api/erp/anfragen/route.ts new file mode 100644 index 0000000..61606cb --- /dev/null +++ b/src/app/api/erp/anfragen/route.ts @@ -0,0 +1,24 @@ +import { NextResponse } from "next/server"; +import { erpExportAuthorized } from "@/lib/erp-export"; +import { listErpInquiries, parseErpCursor } from "@/lib/erp-crm-export"; +import { rateLimit, getClientIp } from "@/lib/rate-limit"; + +const FAILED_ATTEMPTS_PER_WINDOW = 20; +const FAILED_WINDOW_MS = 15 * 60 * 1000; + +/** + * Firmenanfragen fuer das CRM in ERPNext: GET /api/erp/anfragen?nach=&limit=<1-200>. + * Nur lesend und nur mit ERP_EXPORT_TOKEN, siehe lib/erp-crm-export.ts. + */ +export async function GET(request: Request) { + if (!erpExportAuthorized(request.headers.get("authorization"))) { + const ip = await getClientIp(); + const status = rateLimit(`erp-export:${ip}`, FAILED_ATTEMPTS_PER_WINDOW, FAILED_WINDOW_MS) ? 401 : 429; + return NextResponse.json({ error: "Nicht berechtigt." }, { status }); + } + const query = parseErpCursor(new URL(request.url).searchParams); + if (!query) { + return NextResponse.json({ error: "nach (Anfrage-ID) und limit (1-200) pruefen." }, { status: 400 }); + } + return NextResponse.json(await listErpInquiries(query.after, query.limit), { headers: { "Cache-Control": "no-store" } }); +} diff --git a/src/app/api/erp/kunden/route.ts b/src/app/api/erp/kunden/route.ts new file mode 100644 index 0000000..9508612 --- /dev/null +++ b/src/app/api/erp/kunden/route.ts @@ -0,0 +1,24 @@ +import { NextResponse } from "next/server"; +import { erpExportAuthorized } from "@/lib/erp-export"; +import { listErpCustomers, parseErpCursor } from "@/lib/erp-crm-export"; +import { rateLimit, getClientIp } from "@/lib/rate-limit"; + +const FAILED_ATTEMPTS_PER_WINDOW = 20; +const FAILED_WINDOW_MS = 15 * 60 * 1000; + +/** + * Kundenkonten fuer das CRM in ERPNext: GET /api/erp/kunden?nach=&limit=<1-200>. + * Nur lesend und nur mit ERP_EXPORT_TOKEN, siehe lib/erp-crm-export.ts. + */ +export async function GET(request: Request) { + if (!erpExportAuthorized(request.headers.get("authorization"))) { + const ip = await getClientIp(); + const status = rateLimit(`erp-export:${ip}`, FAILED_ATTEMPTS_PER_WINDOW, FAILED_WINDOW_MS) ? 401 : 429; + return NextResponse.json({ error: "Nicht berechtigt." }, { status }); + } + const query = parseErpCursor(new URL(request.url).searchParams); + if (!query) { + return NextResponse.json({ error: "nach (Kunden-ID) und limit (1-200) pruefen." }, { status: 400 }); + } + return NextResponse.json(await listErpCustomers(query.after, query.limit), { headers: { "Cache-Control": "no-store" } }); +} diff --git a/src/lib/erp-crm-export.test.ts b/src/lib/erp-crm-export.test.ts new file mode 100644 index 0000000..45c8628 --- /dev/null +++ b/src/lib/erp-crm-export.test.ts @@ -0,0 +1,107 @@ +import { describe, test, expect, vi, beforeEach } from "vitest"; + +const customerFindMany = vi.fn(); +const inquiryFindMany = vi.fn(); +vi.mock("@/lib/prisma", () => ({ + prisma: { + customer: { findMany: (...args: unknown[]) => customerFindMany(...args) }, + businessInquiry: { findMany: (...args: unknown[]) => inquiryFindMany(...args) }, + }, +})); +vi.mock("@/lib/invoice-pdf", () => ({ generateInvoicePdf: vi.fn() })); +vi.mock("@/lib/invoice-storage", () => ({ readStoredInvoicePdf: vi.fn() })); + +const { listErpCustomers, listErpInquiries, parseErpCursor } = await import("./erp-crm-export"); + +beforeEach(() => vi.clearAllMocks()); + +describe("parseErpCursor", () => { + test("Cursor optional, Limit begrenzt, nur harmlose IDs", () => { + expect(parseErpCursor(new URLSearchParams(""))).toEqual({ after: null, limit: 200 }); + expect(parseErpCursor(new URLSearchParams("nach=cm1abc&limit=50"))).toEqual({ after: "cm1abc", limit: 50 }); + expect(parseErpCursor(new URLSearchParams("limit=0"))).toBeNull(); + expect(parseErpCursor(new URLSearchParams("nach=a'b"))).toBeNull(); + }); +}); + +describe("listErpCustomers", () => { + test("nur Kundschaft, ab dem Cursor, mit Standardadresse und naechstem Cursor", async () => { + // Arrange + customerFindMany.mockResolvedValue([ + { + id: "c2", + email: "erika@example.org", + firstName: "Erika", + lastName: "Musterfrau", + phone: null, + createdAt: new Date("2026-05-01T08:00:00Z"), + emailVerifiedAt: new Date("2026-05-01T08:05:00Z"), + blockedAt: null, + addresses: [{ street: "Musterstraße 1", zip: "80331", city: "München", country: "DE" }], + }, + ]); + + // Act + const result = await listErpCustomers("c1", 1); + + // Assert + expect(customerFindMany).toHaveBeenCalledWith( + expect.objectContaining({ where: { role: "KUNDE", id: { gt: "c1" } }, orderBy: { id: "asc" }, take: 1 }) + ); + expect(result.next).toBe("c2"); + expect(result.customers[0]).toEqual({ + shopCustomerId: "c2", + email: "erika@example.org", + firstName: "Erika", + lastName: "Musterfrau", + phone: null, + createdAt: "2026-05-01T08:00:00.000Z", + emailVerified: true, + blocked: false, + address: { street: "Musterstraße 1", zip: "80331", city: "München", country: "DE" }, + }); + // Nie Passwort-Hash oder 2FA-Geheimnis abfragen. + const select = customerFindMany.mock.calls[0][0].select; + expect(select.passwordHash).toBeUndefined(); + expect(select.twoFactorSecret).toBeUndefined(); + }); + + test("letzte Seite ohne Cursor", async () => { + customerFindMany.mockResolvedValue([]); + expect((await listErpCustomers(null, 200)).next).toBeNull(); + }); +}); + +describe("listErpInquiries", () => { + test("liefert Firma, Ansprechpartner und Wunsch", async () => { + inquiryFindMany.mockResolvedValue([ + { + id: "i1", + companyName: "Bäckerei Korn GmbH", + contactPerson: "Max Korn", + email: "max@korn.example", + phone: "0821 123", + desiredQuantity: 120, + desiredDeliveryDate: new Date("2026-12-01T00:00:00Z"), + package: "GESCHENK", + message: "Für Weihnachten", + status: "NEU", + createdAt: new Date("2026-10-01T10:00:00Z"), + updatedAt: new Date("2026-10-02T10:00:00Z"), + }, + ]); + + const result = await listErpInquiries(null, 200); + + expect(result.next).toBeNull(); + expect(result.inquiries[0]).toMatchObject({ + inquiryId: "i1", + companyName: "Bäckerei Korn GmbH", + contactPerson: "Max Korn", + desiredQuantity: 120, + desiredDeliveryDate: "2026-12-01T00:00:00.000Z", + package: "GESCHENK", + status: "NEU", + }); + }); +}); diff --git a/src/lib/erp-crm-export.ts b/src/lib/erp-crm-export.ts new file mode 100644 index 0000000..8b02f21 --- /dev/null +++ b/src/lib/erp-crm-export.ts @@ -0,0 +1,104 @@ +import { prisma } from "@/lib/prisma"; +import { MAX_PAGE_SIZE } from "@/lib/erp-export"; + +/** + * Nur lesender Export fuer das CRM in ERPNext (collab.vycept.com): + * + * - /api/erp/kunden: Kundenkonten des Shops. ERPNext fuehrt sie als + * Privatkunden (Kundengruppe "Privat") mit Kontakt und Adresse. + * - /api/erp/anfragen: Firmenanfragen von der Geschaeftskunden-Seite. + * ERPNext fuehrt die Firma als B2B-Kunden (Kundengruppe "Gewerblich") mit + * Ansprechpartner und je Anfrage eine Chance (Opportunity). + * + * ERPNext holt bei jedem Lauf die VOLLSTAENDIGE Liste (seitenweise ueber den + * Cursor "nach"). Nur so erkennt es auch geloeschte Konten: ein Kunde, der im + * Shop sein Konto geloescht hat und keine Rechnung hat, wird dort ebenfalls + * entfernt (Art. 17 DSGVO); mit Rechnung bleibt er wegen der + * Aufbewahrungspflicht stehen. + * + * Bewusst nicht im Export: Passwort-Hash, 2FA-Daten, Sitzungen, Wunschliste, + * Bewertungen. Admin-Konten sind keine Kundschaft und fehlen ebenfalls. + * Zugang wie beim Rechnungsexport nur mit ERP_EXPORT_TOKEN. + */ + +/** `nach` (letzte id der vorigen Seite, leer = von vorn) und `limit` (1 bis MAX_PAGE_SIZE). */ +export function parseErpCursor(params: URLSearchParams): { after: string | null; limit: number } | null { + const after = params.get("nach")?.trim() || null; + const limit = Number(params.get("limit") ?? MAX_PAGE_SIZE); + if (!Number.isInteger(limit) || limit < 1 || limit > MAX_PAGE_SIZE) return null; + if (after !== null && !/^[a-z0-9]{1,64}$/i.test(after)) return null; + return { after, limit }; +} + +function page(rows: T[], limit: number): string | null { + return rows.length === limit ? rows[rows.length - 1].id : null; +} + +export async function listErpCustomers(after: string | null, limit: number) { + const customers = await prisma.customer.findMany({ + where: { role: "KUNDE", ...(after ? { id: { gt: after } } : {}) }, + orderBy: { id: "asc" }, + take: limit, + select: { + id: true, + email: true, + firstName: true, + lastName: true, + phone: true, + createdAt: true, + emailVerifiedAt: true, + blockedAt: true, + // Standardadresse, sonst die zuletzt geaenderte; Packstationen sind + // keine Anschrift fuer das CRM. + addresses: { + where: { packstationNumber: null }, + orderBy: [{ isDefault: "desc" }, { updatedAt: "desc" }], + take: 1, + select: { street: true, zip: true, city: true, country: true }, + }, + }, + }); + return { + customers: customers.map((customer) => ({ + shopCustomerId: customer.id, + email: customer.email, + firstName: customer.firstName, + lastName: customer.lastName, + phone: customer.phone, + createdAt: customer.createdAt.toISOString(), + emailVerified: customer.emailVerifiedAt !== null, + blocked: customer.blockedAt !== null, + address: customer.addresses[0] ?? null, + })), + next: page(customers, limit), + }; +} + +export type ErpCustomer = Awaited>["customers"][number]; + +export async function listErpInquiries(after: string | null, limit: number) { + const inquiries = await prisma.businessInquiry.findMany({ + where: after ? { id: { gt: after } } : {}, + orderBy: { id: "asc" }, + take: limit, + }); + return { + inquiries: inquiries.map((inquiry) => ({ + inquiryId: inquiry.id, + companyName: inquiry.companyName, + contactPerson: inquiry.contactPerson, + email: inquiry.email, + phone: inquiry.phone, + desiredQuantity: inquiry.desiredQuantity, + desiredDeliveryDate: inquiry.desiredDeliveryDate?.toISOString() ?? null, + package: inquiry.package, + message: inquiry.message, + status: inquiry.status, + createdAt: inquiry.createdAt.toISOString(), + updatedAt: inquiry.updatedAt.toISOString(), + })), + next: page(inquiries, limit), + }; +} + +export type ErpInquiry = Awaited>["inquiries"][number];