feat: Produkte aus ApiCore synchronisieren

Der Shop konnte Ernten und Chargen bereits aus ApiCore uebernehmen, den
Produktkatalog aber nicht - jedes Glas musste im Admin ein zweites Mal von
Hand angelegt werden. Neuer Knopf unter /admin/produkte zieht die Produkte
und traegt anschliessend die passende Charge am Produkt nach, wo ApiCore
die Abfuellung einem Produkt zugeordnet hat. Genau diese Verknuepfung
fuettert die Herkunftsseite hinter dem QR-Code auf dem Glas.

ApiCore fuehrt ueberhaupt keine Verkaufspreise. Importierte Produkte
entstehen deshalb als deaktivierte Entwuerfe mit Preis 0, den nur ein
Mensch setzen kann. Damit daraus nie eine Gratis-Bestellung wird, lehnen
die Aktivierung im Admin und der Checkout ein Produkt ohne Preis jetzt
ausdruecklich ab, und die Produktliste kennzeichnet solche Entwuerfe.

Ein bereits vorhandenes Produkt wird uebersprungen, nie ueberschrieben:
genau die drei Felder, die ApiCore liefert (Name, Beschreibung, Gewicht),
zieht der Admin vor der Freischaltung von Hand nach - ein Update wuerde
diese Arbeit bei jedem weiteren Lauf wegwerfen. Ein in ApiCore
ausgelaufenes Produkt wird nicht automatisch deaktiviert, sondern nur
gemeldet, damit der Restbestand abverkauft werden kann.

Nebenbei behoben: die beiden Produktformulare und die Bestelluebersicht
haben den ?error=-Parameter aus fail() nie ausgegeben - abgelehnte
Eingaben landeten wortlos wieder auf dem Formular.

Der Login gegen ApiCore ist jetzt von den Abfragen getrennt
(openApiCoreSession), damit ein Sync-Lauf mit einer einzigen Anmeldung
auskommt statt mit dreien. Die Feld-Abbildung liegt neu in
lib/apicore-mapping.ts und ist damit testbar, statt hinter "use server"
zu verschwinden.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

.env.example

@@ -81,16 +81,20 @@ SMTP_USER=
 SMTP_PASSWORD=
 SMTP_FROM="Wabenhain <[email protected]>"
 
-# ApiCore-Ernten-Synchronisierung (optional, admin/ernten -> "ApiCore-
-# Synchronisierung"). Ohne diese drei Werte zeigt der Sync-Button einen
-# Konfigurationsfehler statt eines Ergebnisses. ApiCore ist ein separates
-# Projekt (NestJS-Backend) mit reinem E-Mail/Passwort-Login (kein API-Key-
-# Mechanismus) — hier IDEALERWEISE die Zugangsdaten eines dedizierten,
-# MFA-freien Service-Kontos mit ausschliesslich den Berechtigungen
-# "harvests:read", "apiaries:read" (optional, fuer Standortnamen),
-# "extractions:read" und "bottling:read" (beide fuer den Chargen-Sync)
-# eintragen, nicht die eines echten Admin-Zugangs. Details siehe
-# src/lib/apicore-client.ts.
+# ApiCore-Synchronisierung (optional). Zwei Knoepfe nutzen sie: admin/ernten
+# -> "ApiCore-Synchronisierung" (Ernten + Chargen) und admin/produkte ->
+# "ApiCore-Synchronisierung" (Produktkatalog). Ohne diese drei Werte zeigen
+# beide einen Konfigurationsfehler statt eines Ergebnisses. ApiCore ist ein
+# separates Projekt (NestJS-Backend) mit reinem E-Mail/Passwort-Login (kein
+# API-Key-Mechanismus) — hier IDEALERWEISE die Zugangsdaten eines
+# dedizierten, MFA-freien Service-Kontos eintragen, nicht die eines echten
+# Admin-Zugangs. Benoetigte Berechtigungen, alle nur lesend:
+#   harvests:read     Ernten
+#   products:read     Produktkatalog
+#   extractions:read  Schleuderungen (verbinden Charge und Ernte)
+#   bottling:read     Abfuellungen = Chargen
+#   apiaries:read     optional, nur fuer die Standortnamen an den Ernten
+# Details siehe src/lib/apicore-client.ts.
 APICORE_API_URL=
 APICORE_SYNC_EMAIL=
 APICORE_SYNC_PASSWORD=