feat: Produkte aus ApiCore synchronisieren

Der Shop konnte Ernten und Chargen bereits aus ApiCore uebernehmen, den
Produktkatalog aber nicht - jedes Glas musste im Admin ein zweites Mal von
Hand angelegt werden. Neuer Knopf unter /admin/produkte zieht die Produkte
und traegt anschliessend die passende Charge am Produkt nach, wo ApiCore
die Abfuellung einem Produkt zugeordnet hat. Genau diese Verknuepfung
fuettert die Herkunftsseite hinter dem QR-Code auf dem Glas.

ApiCore fuehrt ueberhaupt keine Verkaufspreise. Importierte Produkte
entstehen deshalb als deaktivierte Entwuerfe mit Preis 0, den nur ein
Mensch setzen kann. Damit daraus nie eine Gratis-Bestellung wird, lehnen
die Aktivierung im Admin und der Checkout ein Produkt ohne Preis jetzt
ausdruecklich ab, und die Produktliste kennzeichnet solche Entwuerfe.

Ein bereits vorhandenes Produkt wird uebersprungen, nie ueberschrieben:
genau die drei Felder, die ApiCore liefert (Name, Beschreibung, Gewicht),
zieht der Admin vor der Freischaltung von Hand nach - ein Update wuerde
diese Arbeit bei jedem weiteren Lauf wegwerfen. Ein in ApiCore
ausgelaufenes Produkt wird nicht automatisch deaktiviert, sondern nur
gemeldet, damit der Restbestand abverkauft werden kann.

Nebenbei behoben: die beiden Produktformulare und die Bestelluebersicht
haben den ?error=-Parameter aus fail() nie ausgegeben - abgelehnte
Eingaben landeten wortlos wieder auf dem Formular.

Der Login gegen ApiCore ist jetzt von den Abfragen getrennt
(openApiCoreSession), damit ein Sync-Lauf mit einer einzigen Anmeldung
auskommt statt mit dreien. Die Feld-Abbildung liegt neu in
lib/apicore-mapping.ts und ist damit testbar, statt hinter "use server"
zu verschwinden.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

src/app/api/checkout/route.ts

@@ -102,6 +102,22 @@ export async function POST(request: Request) {
     );
   }
 
+  // Preis 0 ist kein Geschenk, sondern ein noch nicht gepflegter Preis. Aus
+  // ApiCore importierte Produkte kommen genau so an (siehe
+  // admin/actions/apicore-sync.ts: ApiCore fuehrt keine Verkaufspreise), und
+  // auch ein manuell angelegtes Produkt kann versehentlich ohne Preis aktiv
+  // geschaltet werden. Die Aktivierung im Admin weist das bereits ab; diese
+  // Pruefung ist die zweite Haelfte davon und faengt Altbestaende sowie
+  // direkte Datenbank-Aenderungen ab, die nie durch das Admin-Formular
+  // gelaufen sind. Sonst waere die Bestellung tatsaechlich fuer 0 Euro
+  // abgeschlossen worden.
+  if (products.some((product) => product.priceCents <= 0)) {
+    return NextResponse.json(
+      { error: "Ein Produkt im Warenkorb ist nicht mehr verfügbar." },
+      { status: 400 }
+    );
+  }
+
   const orderItemsData = input.items.map((cartItem) => {
     const product = products.find((p) => p.id === cartItem.productId)!;
     return {