feat: Bild-Upload fuer Inhalte, Produkte und Ernten

Echter Datei-Upload statt CSS-Platzhaltergrafiken, gespeichert unter
UPLOAD_DIR (Laufzeit-Verzeichnis, weiss nichts von seiner tatsaechlichen
Speicher-Anbindung — in Produktion ein von der Betreiberin selbst per
Kubernetes eingebundenes Volume, z.B. SMB; lokal ein simples ./uploads).

- lib/uploads.ts: Kernlogik. Bildformat wird ausschliesslich aus den
  tatsaechlichen Bilddaten erkannt (Magic-Bytes via sharp), nie aus
  Client-Dateiname/MIME-Type. Zufaellige, nicht erratbare Dateinamen
  (Path-Traversal-/Overwrite-Schutz). Re-Encoding validiert Pixel-Daten
  vollstaendig und entfernt eingebettete Metadaten (EXIF/ICC/XMP) als
  Nebeneffekt. Content-Type beim Ausliefern kommt ausschliesslich aus
  einer festen Endung->MIME-Zuordnung, nie aus Dateiinhalt/-namen.
- app/api/admin/upload/route.ts: Admin-only Upload-Endpunkt (CSRF- +
  Auth- + Rate-Limit-Pruefung, max. 8 MB, JPEG/PNG/WebP/AVIF).
- app/uploads/[...path]/route.ts: liefert hochgeladene Bilder aus
  (public/ wird zur Build-Zeit fest ins Image gebacken, kann also keine
  zur Laufzeit hinzugefuegten Dateien bedienen) — mit
  Path-Traversal-Schutz und nosniff-Header.
- content-registry.ts: neuer "image"-Feldtyp fuer Hero-/Startseite-
  Grafiken, admin/inhalte hat dafuer ein Upload-Widget.
- Produkt-/Ernten-Admin-Formulare: Mehrfach-Bild-Upload fuer
  Product.images/Harvest.images (beide Felder existierten im Schema,
  hatten aber bislang keine Admin-Oberflaeche). Oeffentliche Seiten
  (Shop, Ernten, Chargen-QR-Seite) zeigen jetzt echte Fotos statt
  Platzhalter, sobald vorhanden.
- Kubernetes: nur ein einfacher volumeMount in 05-app-deployment.yaml
  (Platzhalter-emptyDir, klar als CHANGE-ME markiert) — die eigentliche
  Volume-Quelle (SMB o.ae.) bindet die Betreiberin selbst ein, wie
  gewuenscht keine SMB/CSI-spezifischen Manifeste hinzugefuegt.

Verifiziert: tsc --noEmit clean, 139/139 Tests gruen (21 neu), pnpm
build clean. Upload-/Serving-Pipeline live gegen einen laufenden
Server getestet (Auth-/CSRF-Gates, Path-Traversal-Ablehnung,
Format-Ablehnung) — ein vollstaendiger authentifizierter Upload
end-to-end (braucht echten Admin-Login inkl. 2FA) wurde nicht live
durchgespielt, nur per Code-Review verifiziert.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

src/lib/data.ts

@@ -21,6 +21,16 @@ function normalizeProduct<T extends { tasteTags: unknown; images: unknown }>(
   return { ...product, tasteTags: asStringArray(product.tasteTags), images: asStringArray(product.images) };
 }
 
+/** Dasselbe Prinzip wie normalizeProduct oben, nur fuer das images-Feld
+ * alleine — wiederverwendbar fuer Harvest UND fuer die (verschachtelten)
+ * Product-Eintraege in den Harvest-/Batch-Funktionen unten, die keine
+ * tasteTags-Normalisierung brauchen. */
+function withImages<T extends { images: unknown }>(item: T): Omit<T, "images"> & { images: string[] } {
+  return { ...item, images: asStringArray(item.images) };
+}
+
+export type HarvestWithImages = Omit<Harvest, "images"> & { images: string[] };
+
 export type ProductSort = "preis-auf" | "preis-ab" | "verfuegbarkeit";
 
 export interface GetActiveProductsOptions {
@@ -106,12 +116,13 @@ export async function getProductsByIds(
 }
 
 /** Nur oeffentlich sichtbare Ernten (siehe Harvest.isPublished) — fuer Shop-/Ernten-Seiten. */
-export async function getHarvests(): Promise<(Harvest & { batches: Batch[] })[]> {
-  return prisma.harvest.findMany({
+export async function getHarvests(): Promise<(HarvestWithImages & { batches: Batch[] })[]> {
+  const harvests = await prisma.harvest.findMany({
     where: { isPublished: true },
     include: { batches: true },
     orderBy: [{ year: "desc" }, { harvestDate: "desc" }],
   });
+  return harvests.map(withImages);
 }
 
 /**
@@ -123,19 +134,34 @@ export async function getHarvests(): Promise<(Harvest & { batches: Batch[] })[]>
 export async function getHarvestByYearType(
   year: number,
   type: string
-): Promise<(Harvest & { batches: Batch[]; products: Product[] }) | null> {
+): Promise<
+  | (HarvestWithImages & {
+      batches: Batch[];
+      products: (Omit<Product, "images"> & { images: string[] })[];
+    })
+  | null
+> {
   const harvest = await prisma.harvest.findUnique({
     where: { year_type: { year, type } },
     include: { batches: true, products: true },
   });
-  return harvest && harvest.isPublished ? harvest : null;
+  if (!harvest || !harvest.isPublished) return null;
+  return { ...withImages(harvest), products: harvest.products.map(withImages) };
 }
 
 export async function getBatchByCode(
   code: string
-): Promise<(Batch & { harvest: Harvest; products: Product[] }) | null> {
-  return prisma.batch.findUnique({
+): Promise<
+  | (Batch & {
+      harvest: HarvestWithImages;
+      products: (Omit<Product, "images"> & { images: string[] })[];
+    })
+  | null
+> {
+  const batch = await prisma.batch.findUnique({
     where: { code },
     include: { harvest: true, products: true },
   });
+  if (!batch) return null;
+  return { ...batch, harvest: withImages(batch.harvest), products: batch.products.map(withImages) };
 }