fix: deaktivierte Produkte sind nicht mehr bestellbar

Ein Produkt, das im Admin-Bereich auf "Inaktiv" gesetzt wird, verschwand
zwar aus der Shop-Uebersicht und aus der Sitemap — seine Detailseite blieb
aber vollstaendig bestellbar. Erreichbar war sie weiterhin ueber
Direktlink, Lesezeichen, alte Newsletter, "Zuletzt angesehen" und den
Google-Index. getProductBySlug filtert isActive nicht, und die Seite
pruefte es nicht nach.

Auch der Checkout selbst pruefte es nicht: getProductsByIds filtert
bewusst nicht danach (es wird auch fuer bereits bestellte, inzwischen
deaktivierte Produkte genutzt, siehe lib/data.ts), und die Route verliess
sich allein auf den Abgleich der Anzahl gefundener Produkte. Die
Warenkorb-Oberflaeche zeigt ein deaktiviertes Produkt ueber
/api/shop/cart-stock zwar mit Bestand 0 an — aber das ist nur der Client.
Ein Warenkorb, der im Browser lag, bevor das Produkt deaktiviert wurde,
kam ungeprueft durch: die Bestellung wurde angelegt und tatsaechlich
bezahlt, obwohl die Imkerei den Artikel gerade aus dem Verkauf genommen
hatte.

Behoben an beiden Stellen:

- Produktseite: isPurchasable = isActive && Bestand > 0 steuert jetzt
  Bestellbutton, Sticky-Leiste und die schema.org-Verfuegbarkeit. Die
  Seite bleibt bewusst erreichbar statt 404 zu liefern — Bestellhistorie
  und Sendungsverfolgung verlinken hierher zum Bewerten, und wer eine
  ausgelaufene Saisonernte gekauft hat, soll sie weiter bewerten koennen.
  Stattdessen "robots: noindex", damit sie nicht ueber Google als
  vermeintlich bestellbares Produkt gefunden wird.
- Die "Benachrichtige mich"-Anmeldung erscheint nur noch bei einem aktiven,
  aber ausverkauften Produkt. Die Benachrichtigung haengt am Lagerbestand
  (lib/stock-notifications.ts) — bei einem dauerhaft eingestellten Produkt
  waere sie ein Versprechen, das nie eingeloest wird.
- Checkout-Route: lehnt Bestellungen mit deaktivierten Produkten
  serverseitig ab, ueber dieselbe Fehlermeldung wie ein nicht mehr
  vorhandenes Produkt.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

src/app/api/checkout/route.ts

@@ -84,6 +84,24 @@ export async function POST(request: Request) {
     );
   }
 
+  // Ein im Admin deaktiviertes Produkt (isActive = false) darf nicht mehr
+  // verkauft werden. getProductsByIds filtert bewusst nicht danach, weil es
+  // auch fuer bereits bestellte, inzwischen deaktivierte Produkte genutzt
+  // wird (siehe lib/data.ts) — die Pruefung gehoert deshalb hierher.
+  //
+  // Die Warenkorb-Oberflaeche zeigt ein solches Produkt ueber
+  // /api/shop/cart-stock zwar bereits mit Bestand 0 an, aber das ist nur der
+  // Client. Ein Warenkorb, der im Browser lag, bevor das Produkt deaktiviert
+  // wurde, kam bis hierher ungeprueft durch: die Bestellung wurde angelegt
+  // und tatsaechlich bezahlt, obwohl die Imkerei den Artikel gerade aus dem
+  // Verkauf genommen hatte.
+  if (products.some((product) => !product.isActive)) {
+    return NextResponse.json(
+      { error: "Ein Produkt im Warenkorb ist nicht mehr verfügbar." },
+      { status: 400 }
+    );
+  }
+
   const orderItemsData = input.items.map((cartItem) => {
     const product = products.find((p) => p.id === cartItem.productId)!;
     return {

src/app/honig/[slug]/page.tsx

@@ -41,6 +41,11 @@ export async function generateMetadata(
     title: product.name,
     description: `${product.name} — ${product.tasteTags.join(", ")}. ${product.weightGrams} g aus eigener Imkerei in Altenmünster.`,
     alternates: { canonical: `/honig/${slug}` },
+    // Deaktivierte Produkte bleiben erreichbar (die Bestellhistorie und die
+    // Sendungsverfolgung verlinken hierher zum Bewerten), gehoeren aber nicht
+    // in den Suchindex: wer ueber Google kaeme, faende ein Produkt, das nicht
+    // mehr bestellbar ist.
+    ...(product.isActive ? {} : { robots: { index: false, follow: true } }),
   };
 }
 
@@ -66,8 +71,12 @@ export default async function ProductDetailPage(
       ? "was-bedeutet-sommertracht"
       : null;
   const stock = product.inventory?.quantity ?? 0;
-  const inStock = stock > 0;
-  const lowStock = inStock && stock <= 5;
+  // Ein im Admin deaktiviertes Produkt ist nicht bestellbar, auch wenn noch
+  // Bestand gebucht ist. Es verschwindet bereits aus Shop-Uebersicht und
+  // Sitemap, seine Detailseite blieb aber voll bestellbar — erreichbar ueber
+  // Direktlink, Lesezeichen, alte Newsletter und "Zuletzt angesehen".
+  const isPurchasable = product.isActive && stock > 0;
+  const lowStock = isPurchasable && stock <= 5;
 
   const customer = await getCurrentCustomer();
   const [reviews, reviewSummary, relatedProducts, ownReview, canReview, isWishlisted, company, shippingTiers] =
@@ -108,7 +117,7 @@ export default async function ProductDetailPage(
       "@type": "Offer",
       priceCurrency: product.currency,
       price: (product.priceCents / 100).toFixed(2),
-      availability: inStock ? "https://schema.org/InStock" : "https://schema.org/OutOfStock",
+      availability: isPurchasable ? "https://schema.org/InStock" : "https://schema.org/OutOfStock",
       url: `${base}/honig/${product.slug}`,
     },
     ...(reviewSummary.count > 0
@@ -144,7 +153,7 @@ export default async function ProductDetailPage(
   return (
     <div className="py-16 pb-28 md:pb-16">
       <RecordProductView productId={product.id} />
-      <StickyAddToCartBar product={product} inStock={inStock} />
+      <StickyAddToCartBar product={product} inStock={isPurchasable} />
       <script
         type="application/ld+json"
         // "<" escapen, damit Produkttexte niemals ein schliessendes
@@ -206,7 +215,7 @@ export default async function ProductDetailPage(
             </div>
           ) : null}
 
-          {inStock ? (
+          {isPurchasable ? (
             <>
               <AddToCartWithQuantity product={product} maxQuantity={stock} className="mt-8 max-w-xs" />
               {lowStock ? (
@@ -221,6 +230,12 @@ export default async function ProductDetailPage(
               <p className="mt-2 text-xs text-ink/65">
                 {t.productPage.currentlyUnavailable}
               </p>
+              {/* Nur bei aktivem, aber ausverkauftem Produkt: die
+                  Benachrichtigung haengt am Lagerbestand (lib/stock-
+                  notifications.ts). Bei einem dauerhaft deaktivierten Produkt
+                  waere sie ein Versprechen, das nie eingeloest wird. */}
+              {product.isActive ? (
+                <>
                   <form action={subscribeStockNotificationAction} className="mt-4 max-w-xs">
                     <input type="hidden" name="productId" value={product.id} />
                     <label htmlFor="notify-email" className="text-xs text-ink/65">
@@ -250,6 +265,8 @@ export default async function ProductDetailPage(
                     <p className="mt-2 text-xs text-forest">{notifyMessage}</p>
                   ) : null}
                 </>
+              ) : null}
+            </>
           )}
 
           <TrustBadges className="mt-6" />