Update

Dockerfile

@@ -27,6 +27,45 @@ ENV DATABASE_URL="postgresql://placeholder:placeholder@localhost:5432/placeholde
 # Datenbanken wechseln kann, siehe lib/prisma.ts.
 RUN pnpm build
 
+# --- Migrator ---------------------------------------------------------------
+# Eigenstaendige, schlanke Stage nur fuer den Kubernetes-Migrations-Job
+# (k8s/04-migrate-job.yaml): "prisma migrate deploy" + "prisma db seed"
+# brauchen nur die Prisma-CLI, tsx und die paar Laufzeit-Pakete, die
+# prisma/seed.ts importiert — NICHT next/react/sharp/stripe/alle
+# devDependencies, die im vollen builder-Stage (oben) noch mit drin sind.
+# Frueher wurde builder direkt als Migrations-Image gebaut; dessen
+# node_modules-Layer wurde beim Push an die (hinter Cloudflare liegende,
+# ~100 MB Limit pro Layer) Gitea-Registry mit "413 Payload Too Large"
+# abgewiesen. Eigene, minimale Paketliste statt "pnpm install" gegen das
+# volle package.json, damit next/react/sharp erst gar nicht installiert
+# werden.
+FROM base AS migrator
+# pnpm-workspace.yaml zuerst kopieren: pnpm v11 blockt Postinstall-Skripte
+# (u.a. @prisma/engines, laedt die Schema-Engine-Binary fuer "migrate
+# deploy") standardmaessig, ausser sie sind per "allowBuilds" in dieser
+# Datei freigegeben. Ohne die Datei an dieser Stelle liefe "pnpm add" gegen
+# ein Verzeichnis ohne jede Allowlist und wuerde die Skripte ignorieren
+# ([ERR_PNPM_IGNORED_BUILDS]) -> Schema Engine fehlt -> "migrate deploy"
+# schlaegt mit E_CANNOT_RESOLVE_VERSION fehl.
+COPY pnpm-workspace.yaml ./
+RUN pnpm add --save-prod \
+  prisma@^7.9.1 tsx@^4 bcryptjs@^3.0.3 \
+  @prisma/client@^7.9.1 @prisma/adapter-pg@^7.9.1 \
+  @prisma/adapter-mariadb@^7.9.1 mariadb@^3.5.3
+COPY prisma.config.ts ./
+COPY prisma ./prisma
+COPY scripts ./scripts
+COPY src/lib/db-adapter.ts ./src/lib/db-adapter.ts
+COPY src/lib/password-breach-check.ts ./src/lib/password-breach-check.ts
+COPY --from=builder /app/src/generated ./src/generated
+# Nur fuer scripts/prisma-provider.mjs (schreibt die provider-Zeile passend
+# zu DATABASE_PROVIDER) und damit prisma.config.ts nicht wegen einer
+# fehlenden URL abbricht, wenn versehentlich ohne echtes DATABASE_URL
+# aufgerufen — die K8s-Job-Umgebung (04-migrate-job.yaml) setzt die echte
+# DATABASE_URL zur Laufzeit ueber das Secret.
+ENV DATABASE_URL="postgresql://placeholder:placeholder@localhost:5432/placeholder"
+CMD ["sh", "-c", "node scripts/prisma-provider.mjs && npx prisma migrate deploy && npx prisma db seed"]
+
 # --- Runtime --------------------------------------------------------------
 FROM base AS runner
 ENV NODE_ENV=production