feat: Liefergebiet im Admin-Bereich umschaltbar (Deutschland / EU)

Admin-Bereich → Inhalte → Firmendaten → "Liefergebiet". Auswahl zwischen
"Nur Deutschland" und "Europäische Union". Der Wert steuert drei Stellen
gleichzeitig, damit sie nicht auseinanderlaufen koennen:

1. Checkout-Formular: bei "EU" eine Laenderauswahl mit den 27
   Mitgliedstaaten, bei "Nur Deutschland" stattdessen ein Satz, der das
   Gebiet benennt — bevor jemand die Adresse eintippt und erst beim
   Abschicken erfaehrt, dass daraus nichts wird. Eine Auswahl mit einem
   einzigen Eintrag waere eine Attrappe.

2. api/checkout/route.ts: verbindliche Pruefung. Die Auswahl im Formular
   ist Bequemlichkeit, kein Schutz — der Endpunkt nimmt JSON entgegen und
   laesst sich ohne Formular aufrufen. Ohne diese Pruefung entstuende eine
   Bestellung mit einer Lieferadresse, fuer die weder Versandweg noch
   Umsatzsteuerpflicht geklaert sind, und bezahlt waere sie dann auch
   schon. Abgewiesen wird mit einer Meldung, die sagt, was stattdessen
   geht (Adresse im Gebiet oder Abholung).

3. Seite "Versand und Zahlung": eigener Abschnitt "Liefergebiet" mit dem
   passenden Satz. Eigener Abschnitt statt Nebensatz, weil die Frage vor
   dem Warenkorb entscheidet, ob ein Kauf ueberhaupt zustande kommt.

Die Vorgabe ist "Nur Deutschland", und zwar an jeder Stelle einzeln: ein
fehlender oder unsinniger Wert, eine nicht durchgereichte Prop — im
Zweifel liefert der Shop in WENIGER Laender, nie in mehr.

"EU" heisst die 27 Mitgliedstaaten, nicht Europa im geografischen Sinn.
Schweiz, Norwegen und das Vereinigte Koenigreich sind Zollausland; dorthin
zu liefern braucht mehr als einen Haken im Admin-Bereich.

Technisch dazugekommen:
  - lib/shipping-region.ts, reine Logik ohne Datenbankzugriff (wie
    shipping-calc.ts), 11 Tests.
  - content-registry.ts kennt jetzt den Feldtyp "select" mit "options" —
    ein Freitextfeld waere hier falsch: ein Tippfehler im Liefergebiet
    wuerde stillschweigend auf den Vorgabewert zurueckfallen, und niemand
    saehe, dass die Umstellung nicht gegriffen hat.
  - Laendernamen ueber Intl.DisplayNames statt 27 Namen je Sprache im
    Woerterbuch: eine eigene Liste waere ab dem naechsten Beitritt falsch.
  - 3 weitere Tests in der Checkout-Route (Abweisung, EU-Mitglied durch,
    Drittland trotzdem abgewiesen).

tsc: 0 Fehler. vitest: 350/350 gruen (zuvor 336). eslint: 0 Warnungen.
"next build" laeuft durch.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

src/app/api/checkout/route.test.ts

@@ -44,7 +44,11 @@ vi.mock("@/lib/rate-limit", () => ({
   getClientIp: vi.fn(async () => "203.0.113.7"),
 }));
 
-vi.mock("@/lib/shipping", () => ({ getShippingCostCents: vi.fn(async () => 700) }));
+const getShippingRegion = vi.fn(async () => "DE" as const);
+vi.mock("@/lib/shipping", () => ({
+  getShippingCostCents: vi.fn(async () => 700),
+  getShippingRegion: () => getShippingRegion(),
+}));
 vi.mock("@/lib/bulk-discount", () => ({ ensureBulkDiscountCode: vi.fn(async () => undefined) }));
 vi.mock("@/lib/url", () => ({ getBaseUrl: () => "https://wabenhain.test" }));
 vi.mock("@/i18n/locale", () => ({ getLocale: vi.fn(async () => "de") }));
@@ -108,6 +112,7 @@ beforeEach(() => {
   rateLimit.mockReturnValue(true);
   verifyTurnstileToken.mockResolvedValue(true);
   getProductsByIds.mockResolvedValue([honey]);
+  getShippingRegion.mockResolvedValue("DE");
   db.discountCode.findMany.mockResolvedValue([]);
   db.inventory.updateMany.mockResolvedValue({ count: 1 });
   db.order.create.mockResolvedValue(ORDER);
@@ -177,6 +182,37 @@ describe("Checkout-Route", () => {
       expect(db.order.create).not.toHaveBeenCalled();
     });
 
+    test("weist eine Lieferadresse ausserhalb des Liefergebiets ab", async () => {
+      // Die Laenderauswahl im Formular bietet nur zulaessige Laender an — das
+      // ist Bequemlichkeit, kein Schutz: dieser Endpunkt nimmt JSON entgegen
+      // und laesst sich ohne Formular aufrufen.
+      const response = await post({ ...validPayload, country: "AT" });
+
+      expect(response.status).toBe(400);
+      await expect(response.json()).resolves.toMatchObject({
+        error: expect.stringContaining("innerhalb Deutschlands"),
+      });
+      expect(db.order.create).not.toHaveBeenCalled();
+    });
+
+    test('laesst bei Liefergebiet "EU" ein anderes Mitgliedsland durch', async () => {
+      getShippingRegion.mockResolvedValue("EU" as never);
+
+      const response = await post({ ...validPayload, country: "AT" });
+
+      expect(response.status).toBe(200);
+    });
+
+    test('weist bei Liefergebiet "EU" ein Drittland trotzdem ab', async () => {
+      // Die Schweiz liegt in Europa, ist aber Zollausland.
+      getShippingRegion.mockResolvedValue("EU" as never);
+
+      const response = await post({ ...validPayload, country: "CH" });
+
+      expect(response.status).toBe(400);
+      expect(db.order.create).not.toHaveBeenCalled();
+    });
+
     test("bricht ab, wenn der Bestand waehrend des Checkouts nicht mehr reicht", async () => {
       // Das bedingte updateMany trifft keine Zeile mehr — jemand anders war
       // schneller.

src/app/api/checkout/route.ts

@@ -9,7 +9,8 @@ import { getCurrentCustomer } from "@/lib/auth";
 import { rateLimit, getClientIp } from "@/lib/rate-limit";
 import { isTrustedOrigin } from "@/lib/csrf";
 import { verifyTurnstileToken } from "@/lib/turnstile";
-import { getShippingCostCents } from "@/lib/shipping";
+import { getShippingCostCents, getShippingRegion } from "@/lib/shipping";
+import { isCountryAllowed } from "@/lib/shipping-region";
 import { isDiscountCodeValid, calculateDiscountCents } from "@/lib/discount-calc";
 import { ensureBulkDiscountCode } from "@/lib/bulk-discount";
 import { releaseUnpaidOrder } from "@/lib/order-release";
@@ -177,6 +178,26 @@ export async function POST(request: Request) {
         { status: 400 }
       );
     }
+
+    // Verbindliche Pruefung des Liefergebiets. Die Laenderauswahl im Formular
+    // bietet ohnehin nur zulaessige Laender an — das ist Bequemlichkeit, kein
+    // Schutz: dieser Endpunkt nimmt JSON entgegen und laesst sich ohne
+    // Formular aufrufen. Ohne die Pruefung hier entstuende eine Bestellung
+    // mit einer Lieferadresse, fuer die weder Versandweg noch
+    // Umsatzsteuerpflicht geklaert sind — und bezahlt waere sie dann auch
+    // schon.
+    const region = await getShippingRegion();
+    if (!isCountryAllowed(region, input.country)) {
+      return NextResponse.json(
+        {
+          error:
+            region === "DE"
+              ? "Wir versenden derzeit ausschließlich innerhalb Deutschlands. Bitte gib eine Lieferadresse in Deutschland an oder wähle die Abholung."
+              : "Wir versenden derzeit ausschließlich innerhalb der Europäischen Union. Bitte gib eine Lieferadresse in der EU an oder wähle die Abholung.",
+        },
+        { status: 400 }
+      );
+    }
   }
 
   const productIds = input.items.map((item) => item.productId);