feat(erp): Kunden und Firmenanfragen fuer das CRM in ERPNext

Zwei nur lesende Endpunkte mit ERP_EXPORT_TOKEN:
- GET /api/erp/kunden: Kundenkonten (ohne Admins, ohne Passwort/2FA) mit
  Standardadresse; ERPNext fuehrt sie als Privatkunden.
- GET /api/erp/anfragen: Firmenanfragen; ERPNext fuehrt die Firma als
  B2B-Kunden mit Ansprechpartner und je Anfrage eine Chance.
Seitenweise ueber den Cursor "nach"; ERPNext holt jeweils die ganze Liste
und erkennt so auch geloeschte Konten.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

README.md

@@ -477,6 +477,17 @@ Eine ausgestellte Rechnung wird nie gelöscht oder geändert. Wird eine Bestellu
 
 ERPNext holt Stornorechnungen über `GET /api/erp/rechnungen?seit=…&art=storno` und bucht sie als Rechnungskorrektur gegen die Ausgangsrechnung; die PDFs liegen unter `/api/erp/rechnungen/ST-…/pdf`.
 
+### Kunden und Firmenanfragen im CRM (ERPNext)
+
+Zwei weitere nur lesende Endpunkte mit demselben `ERP_EXPORT_TOKEN` (`lib/erp-crm-export.ts`):
+
+| Endpunkt | Inhalt | In ERPNext |
+|---|---|---|
+| `GET /api/erp/kunden?nach=<id>&limit=<1-200>` | Kundenkonten (ohne Admins, ohne Passwort/2FA), Standardadresse | Kunde in der Gruppe **Privat** mit Kontakt und Adresse |
+| `GET /api/erp/anfragen?nach=<id>&limit=<1-200>` | Firmenanfragen der Geschäftskunden-Seite | Kunde (Firma) in der Gruppe **Gewerblich** mit Ansprechpartner, je Anfrage eine Chance |
+
+ERPNext holt bei jedem Lauf die vollständige Liste (Cursor `nach` = letzte ID der vorigen Seite, `next` in der Antwort). Ein im Shop gelöschtes Konto ohne Rechnung verschwindet dadurch auch aus ERPNext; mit Rechnung bleibt der Kunde wegen der Aufbewahrungspflicht stehen.
+
 ## Health-Endpunkte
 
 Zwei getrennte Endpunkte, bewusst mit unterschiedlicher Aufgabe:

src/app/api/erp/anfragen/route.ts

@@ -0,0 +1,24 @@
+import { NextResponse } from "next/server";
+import { erpExportAuthorized } from "@/lib/erp-export";
+import { listErpInquiries, parseErpCursor } from "@/lib/erp-crm-export";
+import { rateLimit, getClientIp } from "@/lib/rate-limit";
+
+const FAILED_ATTEMPTS_PER_WINDOW = 20;
+const FAILED_WINDOW_MS = 15 * 60 * 1000;
+
+/**
+ * Firmenanfragen fuer das CRM in ERPNext: GET /api/erp/anfragen?nach=<id>&limit=<1-200>.
+ * Nur lesend und nur mit ERP_EXPORT_TOKEN, siehe lib/erp-crm-export.ts.
+ */
+export async function GET(request: Request) {
+  if (!erpExportAuthorized(request.headers.get("authorization"))) {
+    const ip = await getClientIp();
+    const status = rateLimit(`erp-export:${ip}`, FAILED_ATTEMPTS_PER_WINDOW, FAILED_WINDOW_MS) ? 401 : 429;
+    return NextResponse.json({ error: "Nicht berechtigt." }, { status });
+  }
+  const query = parseErpCursor(new URL(request.url).searchParams);
+  if (!query) {
+    return NextResponse.json({ error: "nach (Anfrage-ID) und limit (1-200) pruefen." }, { status: 400 });
+  }
+  return NextResponse.json(await listErpInquiries(query.after, query.limit), { headers: { "Cache-Control": "no-store" } });
+}

src/app/api/erp/kunden/route.ts

@@ -0,0 +1,24 @@
+import { NextResponse } from "next/server";
+import { erpExportAuthorized } from "@/lib/erp-export";
+import { listErpCustomers, parseErpCursor } from "@/lib/erp-crm-export";
+import { rateLimit, getClientIp } from "@/lib/rate-limit";
+
+const FAILED_ATTEMPTS_PER_WINDOW = 20;
+const FAILED_WINDOW_MS = 15 * 60 * 1000;
+
+/**
+ * Kundenkonten fuer das CRM in ERPNext: GET /api/erp/kunden?nach=<id>&limit=<1-200>.
+ * Nur lesend und nur mit ERP_EXPORT_TOKEN, siehe lib/erp-crm-export.ts.
+ */
+export async function GET(request: Request) {
+  if (!erpExportAuthorized(request.headers.get("authorization"))) {
+    const ip = await getClientIp();
+    const status = rateLimit(`erp-export:${ip}`, FAILED_ATTEMPTS_PER_WINDOW, FAILED_WINDOW_MS) ? 401 : 429;
+    return NextResponse.json({ error: "Nicht berechtigt." }, { status });
+  }
+  const query = parseErpCursor(new URL(request.url).searchParams);
+  if (!query) {
+    return NextResponse.json({ error: "nach (Kunden-ID) und limit (1-200) pruefen." }, { status: 400 });
+  }
+  return NextResponse.json(await listErpCustomers(query.after, query.limit), { headers: { "Cache-Control": "no-store" } });
+}

src/lib/erp-crm-export.test.ts

@@ -0,0 +1,107 @@
+import { describe, test, expect, vi, beforeEach } from "vitest";
+
+const customerFindMany = vi.fn();
+const inquiryFindMany = vi.fn();
+vi.mock("@/lib/prisma", () => ({
+  prisma: {
+    customer: { findMany: (...args: unknown[]) => customerFindMany(...args) },
+    businessInquiry: { findMany: (...args: unknown[]) => inquiryFindMany(...args) },
+  },
+}));
+vi.mock("@/lib/invoice-pdf", () => ({ generateInvoicePdf: vi.fn() }));
+vi.mock("@/lib/invoice-storage", () => ({ readStoredInvoicePdf: vi.fn() }));
+
+const { listErpCustomers, listErpInquiries, parseErpCursor } = await import("./erp-crm-export");
+
+beforeEach(() => vi.clearAllMocks());
+
+describe("parseErpCursor", () => {
+  test("Cursor optional, Limit begrenzt, nur harmlose IDs", () => {
+    expect(parseErpCursor(new URLSearchParams(""))).toEqual({ after: null, limit: 200 });
+    expect(parseErpCursor(new URLSearchParams("nach=cm1abc&limit=50"))).toEqual({ after: "cm1abc", limit: 50 });
+    expect(parseErpCursor(new URLSearchParams("limit=0"))).toBeNull();
+    expect(parseErpCursor(new URLSearchParams("nach=a'b"))).toBeNull();
+  });
+});
+
+describe("listErpCustomers", () => {
+  test("nur Kundschaft, ab dem Cursor, mit Standardadresse und naechstem Cursor", async () => {
+    // Arrange
+    customerFindMany.mockResolvedValue([
+      {
+        id: "c2",
+        email: "[email protected]",
+        firstName: "Erika",
+        lastName: "Musterfrau",
+        phone: null,
+        createdAt: new Date("2026-05-01T08:00:00Z"),
+        emailVerifiedAt: new Date("2026-05-01T08:05:00Z"),
+        blockedAt: null,
+        addresses: [{ street: "Musterstraße 1", zip: "80331", city: "München", country: "DE" }],
+      },
+    ]);
+
+    // Act
+    const result = await listErpCustomers("c1", 1);
+
+    // Assert
+    expect(customerFindMany).toHaveBeenCalledWith(
+      expect.objectContaining({ where: { role: "KUNDE", id: { gt: "c1" } }, orderBy: { id: "asc" }, take: 1 })
+    );
+    expect(result.next).toBe("c2");
+    expect(result.customers[0]).toEqual({
+      shopCustomerId: "c2",
+      email: "[email protected]",
+      firstName: "Erika",
+      lastName: "Musterfrau",
+      phone: null,
+      createdAt: "2026-05-01T08:00:00.000Z",
+      emailVerified: true,
+      blocked: false,
+      address: { street: "Musterstraße 1", zip: "80331", city: "München", country: "DE" },
+    });
+    // Nie Passwort-Hash oder 2FA-Geheimnis abfragen.
+    const select = customerFindMany.mock.calls[0][0].select;
+    expect(select.passwordHash).toBeUndefined();
+    expect(select.twoFactorSecret).toBeUndefined();
+  });
+
+  test("letzte Seite ohne Cursor", async () => {
+    customerFindMany.mockResolvedValue([]);
+    expect((await listErpCustomers(null, 200)).next).toBeNull();
+  });
+});
+
+describe("listErpInquiries", () => {
+  test("liefert Firma, Ansprechpartner und Wunsch", async () => {
+    inquiryFindMany.mockResolvedValue([
+      {
+        id: "i1",
+        companyName: "Bäckerei Korn GmbH",
+        contactPerson: "Max Korn",
+        email: "[email protected]",
+        phone: "0821 123",
+        desiredQuantity: 120,
+        desiredDeliveryDate: new Date("2026-12-01T00:00:00Z"),
+        package: "GESCHENK",
+        message: "Für Weihnachten",
+        status: "NEU",
+        createdAt: new Date("2026-10-01T10:00:00Z"),
+        updatedAt: new Date("2026-10-02T10:00:00Z"),
+      },
+    ]);
+
+    const result = await listErpInquiries(null, 200);
+
+    expect(result.next).toBeNull();
+    expect(result.inquiries[0]).toMatchObject({
+      inquiryId: "i1",
+      companyName: "Bäckerei Korn GmbH",
+      contactPerson: "Max Korn",
+      desiredQuantity: 120,
+      desiredDeliveryDate: "2026-12-01T00:00:00.000Z",
+      package: "GESCHENK",
+      status: "NEU",
+    });
+  });
+});

src/lib/erp-crm-export.ts

@@ -0,0 +1,104 @@
+import { prisma } from "@/lib/prisma";
+import { MAX_PAGE_SIZE } from "@/lib/erp-export";
+
+/**
+ * Nur lesender Export fuer das CRM in ERPNext (collab.vycept.com):
+ *
+ * - /api/erp/kunden: Kundenkonten des Shops. ERPNext fuehrt sie als
+ *   Privatkunden (Kundengruppe "Privat") mit Kontakt und Adresse.
+ * - /api/erp/anfragen: Firmenanfragen von der Geschaeftskunden-Seite.
+ *   ERPNext fuehrt die Firma als B2B-Kunden (Kundengruppe "Gewerblich") mit
+ *   Ansprechpartner und je Anfrage eine Chance (Opportunity).
+ *
+ * ERPNext holt bei jedem Lauf die VOLLSTAENDIGE Liste (seitenweise ueber den
+ * Cursor "nach"). Nur so erkennt es auch geloeschte Konten: ein Kunde, der im
+ * Shop sein Konto geloescht hat und keine Rechnung hat, wird dort ebenfalls
+ * entfernt (Art. 17 DSGVO); mit Rechnung bleibt er wegen der
+ * Aufbewahrungspflicht stehen.
+ *
+ * Bewusst nicht im Export: Passwort-Hash, 2FA-Daten, Sitzungen, Wunschliste,
+ * Bewertungen. Admin-Konten sind keine Kundschaft und fehlen ebenfalls.
+ * Zugang wie beim Rechnungsexport nur mit ERP_EXPORT_TOKEN.
+ */
+
+/** `nach` (letzte id der vorigen Seite, leer = von vorn) und `limit` (1 bis MAX_PAGE_SIZE). */
+export function parseErpCursor(params: URLSearchParams): { after: string | null; limit: number } | null {
+  const after = params.get("nach")?.trim() || null;
+  const limit = Number(params.get("limit") ?? MAX_PAGE_SIZE);
+  if (!Number.isInteger(limit) || limit < 1 || limit > MAX_PAGE_SIZE) return null;
+  if (after !== null && !/^[a-z0-9]{1,64}$/i.test(after)) return null;
+  return { after, limit };
+}
+
+function page<T extends { id: string }>(rows: T[], limit: number): string | null {
+  return rows.length === limit ? rows[rows.length - 1].id : null;
+}
+
+export async function listErpCustomers(after: string | null, limit: number) {
+  const customers = await prisma.customer.findMany({
+    where: { role: "KUNDE", ...(after ? { id: { gt: after } } : {}) },
+    orderBy: { id: "asc" },
+    take: limit,
+    select: {
+      id: true,
+      email: true,
+      firstName: true,
+      lastName: true,
+      phone: true,
+      createdAt: true,
+      emailVerifiedAt: true,
+      blockedAt: true,
+      // Standardadresse, sonst die zuletzt geaenderte; Packstationen sind
+      // keine Anschrift fuer das CRM.
+      addresses: {
+        where: { packstationNumber: null },
+        orderBy: [{ isDefault: "desc" }, { updatedAt: "desc" }],
+        take: 1,
+        select: { street: true, zip: true, city: true, country: true },
+      },
+    },
+  });
+  return {
+    customers: customers.map((customer) => ({
+      shopCustomerId: customer.id,
+      email: customer.email,
+      firstName: customer.firstName,
+      lastName: customer.lastName,
+      phone: customer.phone,
+      createdAt: customer.createdAt.toISOString(),
+      emailVerified: customer.emailVerifiedAt !== null,
+      blocked: customer.blockedAt !== null,
+      address: customer.addresses[0] ?? null,
+    })),
+    next: page(customers, limit),
+  };
+}
+
+export type ErpCustomer = Awaited<ReturnType<typeof listErpCustomers>>["customers"][number];
+
+export async function listErpInquiries(after: string | null, limit: number) {
+  const inquiries = await prisma.businessInquiry.findMany({
+    where: after ? { id: { gt: after } } : {},
+    orderBy: { id: "asc" },
+    take: limit,
+  });
+  return {
+    inquiries: inquiries.map((inquiry) => ({
+      inquiryId: inquiry.id,
+      companyName: inquiry.companyName,
+      contactPerson: inquiry.contactPerson,
+      email: inquiry.email,
+      phone: inquiry.phone,
+      desiredQuantity: inquiry.desiredQuantity,
+      desiredDeliveryDate: inquiry.desiredDeliveryDate?.toISOString() ?? null,
+      package: inquiry.package,
+      message: inquiry.message,
+      status: inquiry.status,
+      createdAt: inquiry.createdAt.toISOString(),
+      updatedAt: inquiry.updatedAt.toISOString(),
+    })),
+    next: page(inquiries, limit),
+  };
+}
+
+export type ErpInquiry = Awaited<ReturnType<typeof listErpInquiries>>["inquiries"][number];