feat: sichtbare Rueckmeldung fuer alle Aktionen (Toast statt URL-Meldungen)

Viele Aktionen gaben keine Rueckmeldung (Retoure annehmen, Archiv,
Bewertungen, Adressen, Newsletter, Kundensperre ...) oder meldeten Erfolg,
obwohl die zugehoerige E-Mail nie rausging.

- lib/flash: Meldung als kurzlebiges Cookie; Toast im Root-Layout
  (FlashToast). Ersetzt ?message=/?error= in der URL — darueber liess sich
  bisher beliebiger Text als Systemmeldung im Wabenhain-Layout anzeigen
  (Phishing-Hebel). Server Components leiten ueber /api/hinweis mit festen
  Codes und festen Zielen weiter.
- fail()/succeed() zentral und asynchron; ein Quelltext-Test stellt sicher,
  dass jeder Aufruf mit await/return erfolgt (sonst liefe eine Action nach
  einem Fehler weiter).
- sendMail meldet, ob die Mail angenommen wurde; Aktionen mit Mail zeigen
  ehrlich an, wenn der Versand scheitert (z.B. "Link erneut senden").
- Jede Server Action meldet jetzt Erfolg oder den Grund des Abbruchs.
- SubmitFeedback: geklickter Knopf zeigt sofort einen Ladezustand und ist
  bis zur Antwort gegen Doppelklick gesperrt.
- 2FA: nach dem Einrichten zurueck ins Profil statt auf die Seite mit
  "Deaktivieren".

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

src/app/konto/actions/account.ts

@@ -1,6 +1,5 @@
 "use server";
 
-import { redirect } from "next/navigation";
 import { prisma } from "@/lib/prisma";
 import { getCurrentCustomer, verifyPassword, destroySession } from "@/lib/auth";
 import { rateLimit, getClientIp } from "@/lib/rate-limit";
@@ -8,6 +7,7 @@ import { sendMail } from "@/lib/mail";
 import { securityAlertEmail } from "@/lib/email-templates";
 import { getLocale } from "@/i18n/locale";
 import { fail, ACCOUNT_PASSWORD_CONFIRM_ATTEMPTS_PER_WINDOW, ACCOUNT_PASSWORD_CONFIRM_WINDOW_MS } from "./_shared";
+import { succeed } from "@/lib/flash";
 
 /**
  * Selbstbedienungs-Kontoloeschung (Art. 17 DSGVO). Bestellungen bleiben aus
@@ -19,10 +19,10 @@ import { fail, ACCOUNT_PASSWORD_CONFIRM_ATTEMPTS_PER_WINDOW, ACCOUNT_PASSWORD_CO
  */
 export async function deleteOwnAccountAction(formData: FormData): Promise<void> {
   const customer = await getCurrentCustomer();
-  if (!customer) fail("/konto", "Bitte melde dich an.");
+  if (!customer) return fail("/konto", "Bitte melde dich an.");
 
   if (customer.role === "ADMIN") {
-    fail("/konto", "Admin-Konten können nicht selbst gelöscht werden. Bitte kontaktiere einen anderen Admin.");
+    return fail("/konto", "Admin-Konten können nicht selbst gelöscht werden. Bitte kontaktiere einen anderen Admin.");
   }
 
   const ip = await getClientIp();
@@ -33,13 +33,13 @@ export async function deleteOwnAccountAction(formData: FormData): Promise<void>
       ACCOUNT_PASSWORD_CONFIRM_WINDOW_MS
     )
   ) {
-    fail("/konto", "Zu viele Versuche. Bitte versuche es später erneut.");
+    return fail("/konto", "Zu viele Versuche. Bitte versuche es später erneut.");
   }
 
   const password = String(formData.get("password") ?? "");
   const passwordValid = await verifyPassword(password, customer.passwordHash);
   if (!passwordValid) {
-    fail("/konto", "Passwort ist falsch.");
+    return fail("/konto", "Passwort ist falsch.");
   }
 
   const { subject, html, text } = await securityAlertEmail(await getLocale(), "accountDeleted");
@@ -47,7 +47,7 @@ export async function deleteOwnAccountAction(formData: FormData): Promise<void>
 
   await prisma.customer.delete({ where: { id: customer.id } });
   await destroySession();
-  redirect("/konto?message=" + encodeURIComponent("Dein Konto wurde endgültig gelöscht."));
+  return succeed("/konto", "Dein Konto wurde endgültig gelöscht.");
 }
 
 /**
@@ -59,7 +59,7 @@ export async function deleteOwnAccountAction(formData: FormData): Promise<void>
  */
 export async function logoutAllDevicesAction(): Promise<void> {
   const customer = await getCurrentCustomer();
-  if (!customer) fail("/konto", "Bitte melde dich an.");
+  if (!customer) return fail("/konto", "Bitte melde dich an.");
 
   await prisma.customer.update({
     where: { id: customer.id },
@@ -67,5 +67,5 @@ export async function logoutAllDevicesAction(): Promise<void> {
   });
 
   await destroySession();
-  redirect("/konto?message=" + encodeURIComponent("Alle Geräte wurden abgemeldet. Bitte melde dich erneut an."));
+  return succeed("/konto", "Alle Geräte wurden abgemeldet. Bitte melde dich erneut an.");
 }