fix: abgebrochener Checkout gibt die reservierte Ware sofort wieder frei

Eine Bestellung entsteht vor der Zahlung und reserviert dabei sofort
Lagerbestand — sonst könnte zwischen Kaufentscheidung und Zahlung jemand
anders dasselbe Glas kaufen. Bricht die Kundschaft bei Stripe ab, passierte
danach: nichts. Die Seite /checkout/cancel war reiner Text, die Bestellung
blieb auf "NEU", und der Bestand kam erst zurück, wenn Stripe die Sitzung für
abgelaufen erklärte — nach Voreinstellung 24 Stunden später.

Das ist nicht nur unschön, es ist ausnutzbar. Zehn Checkouts pro Stunde und
IP, bis zu zwanzig Stück je Position, fünfzig Positionen: damit lässt sich der
Shop leerräumen, ohne einen Cent zu zahlen, und das Lager bleibt einen Tag
lang blockiert.

Drei Schichten dagegen, jede für sich wirksam:

1. Die Stripe-Sitzung läuft nach 32 statt 24 Stunden ab (expires_at). Stripe
   lässt als Untergrenze 30 Minuten zu; die zwei Minuten Aufschlag sind Puffer
   gegen auseinanderlaufende Uhren, sonst kann die Erstellung als "weniger als
   30 Minuten" abgewiesen werden.

2. Der Abbruch-Knopf bucht sofort zurück. Die cancel_url trägt dazu einen
   eigenen Token (Order.cancelToken, 32 Byte), nicht die Bestellnummer: die
   steht in jeder Bestätigungsmail und auf jeder Rechnung, mit ihr ließe sich
   also die offene Zahlung einer fremden Person abbrechen. Der Token wird
   nach Gebrauch aus der Adresszeile entfernt.

   {CHECKOUT_SESSION_ID} wäre der naheliegende Weg gewesen, ist aber nur für
   success_url und return_url dokumentiert, nicht für cancel_url — darauf
   baut hier nichts.

3. Ein CronJob prüft alle 30 Minuten nach, was liegengeblieben ist. Er greift
   genau dann, wenn Schicht 2 nicht greifen kann: checkout.session.expired
   ist im Dashboard nicht abonniert, der Endpunkt war nicht erreichbar, die
   Zustellversuche sind abgelaufen. Ohne ihn bliebe der Bestand dauerhaft
   blockiert, und zwar unsichtbar — eine solche Bestellung sieht im Admin
   aus wie jede andere offene.

Gefragt wird an jeder Stelle zuerst Stripe, nie die Uhr allein. Ist die
Sitzung dort "complete", war der Aufruf kein Abbruch, sondern ein
Zurück-Klick nach erfolgreicher Zahlung — dann bleibt alles unangetastet.
Umgekehrt vorzugehen hieße, eine bezahlte Bestellung zu stornieren und ihre
Ware ein zweites Mal zu verkaufen.

Findet der Aufräumlauf eine Bestellung, die bei Stripe bezahlt ist, hier aber
noch auf "NEU" steht, rührt er sie nicht an: das nachträglich selbst zu
erledigen hieße, Rechnung, Bestätigungsmail und Gutscheinzählung zu
überspringen. Er meldet den Fall und endet mit Exit-Code 1, damit er als
fehlgeschlagener Job auffällt statt in einer Logzeile zu verschwinden.

Das Stornieren samt Rückbuchung liegt jetzt einmal in lib/order-release.ts
statt verteilt. Der Statuswechsel ist ein einzelnes bedingtes UPDATE ("nur
wenn noch NEU"), damit Abbruch-Klick und Webhook im selben Moment den Bestand
nicht doppelt gutschreiben.

Weiter in diesem Zug:

- Betragsabgleich im Webhook: weicht session.amount_total von der eigenen
  Summe ab, hat etwas außerhalb dieses Codes mitgerechnet (am ehesten eine im
  Dashboard eingeschaltete automatische Steuer). Die Bestellung bleibt
  bezahlt — das Geld ist geflossen —, aber die Abweichung wird laut geloggt.
  Sonst wird bei zu wenig eingezogenem Geld stillschweigend mit Verlust
  versendet, und bei zu viel weicht die Rechnung vom belasteten Betrag ab.

- preflight prüft, ob der Webhook-Endpunkt alle vier Ereignisse abonniert
  hat. Ein eingeschränkter Schlüssel darf die Liste womöglich nicht lesen;
  dann meldet die Prüfung "ungeprüft" statt "in Ordnung".

- Packstation-Bestellungen waren vollständig kaputt: die Muster für
  Packstation- und Postnummer lauteten /^d{1,10}$/ und /^d{6,10}$/. Ohne
  Backslash trifft das nicht "Ziffer", sondern den Buchstaben d — jede echte
  Nummer wurde abgewiesen, gültig wären nur Eingaben wie "dddddd" gewesen.
  Der Fehler war beim Lesen kaum zu sehen, weil die Fehlermeldung daneben das
  Richtige sagte. Drei Tests halten das jetzt fest.

- Das Laufzeit-Image bekommt src/lib vollständig statt zweier einzelner
  Dateien: der CronJob zieht über order-release.ts weitere Module nach, und
  einzeln aufgezählt fällt so etwas erst im Cluster mit "Cannot find module"
  auf.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

src/app/checkout/cancel/page.tsx

@@ -1,12 +1,115 @@
 import type { Metadata } from "next";
+import { redirect } from "next/navigation";
 import { Container, SectionHeading, LinkButton } from "@/components/ui";
+import { prisma } from "@/lib/prisma";
+import { getStripeClient } from "@/lib/stripe";
+import { releaseUnpaidOrder } from "@/lib/order-release";
+import { rateLimit, getClientIp } from "@/lib/rate-limit";
 import { getLocale } from "@/i18n/locale";
 import { getDictionary } from "@/i18n/get-dictionary";
 
-export const metadata: Metadata = { title: "Bestellung abgebrochen" };
+export const metadata: Metadata = { title: "Bestellung abgebrochen", robots: { index: false } };
+// Diese Seite aendert Daten (siehe releaseCheckout) und darf deshalb nie aus
+// einem Cache beantwortet werden.
+export const dynamic = "force-dynamic";
 
-export default async function CheckoutCancelPage() {
+const CANCEL_ATTEMPTS_PER_WINDOW = 20;
+const CANCEL_WINDOW_MS = 15 * 60 * 1000;
+
+/**
+ * Gibt den beim Checkout reservierten Lagerbestand sofort wieder frei, wenn
+ * die Kundschaft die Zahlung bei Stripe abbricht.
+ *
+ * Ohne das bliebe die Ware bis zum Ablauf der Stripe-Sitzung blockiert. Die
+ * Sitzung laeuft zwar nur noch 32 Minuten statt 24 Stunden (siehe
+ * api/checkout/route.ts), aber eine halbe Stunde ist immer noch eine halbe
+ * Stunde, in der das letzte Glas fuer niemanden kaufbar ist, obwohl die
+ * Person gerade ausdruecklich abgebrochen hat.
+ *
+ * Reihenfolge ist hier entscheidend: erst bei Stripe nachsehen, dann erst
+ * etwas zurueckbuchen. Wuerden wir umgekehrt vorgehen, koennte eine bereits
+ * bezahlte Bestellung storniert und ihr Bestand doppelt verkauft werden —
+ * etwa wenn jemand nach erfolgreicher Zahlung den Zurueck-Knopf benutzt und
+ * dabei wieder auf dieser Seite landet.
+ */
+async function releaseCheckout(cancelToken: string): Promise<void> {
+  // Der Token hat 32 Byte und ist praktisch nicht zu erraten; die Bremse ist
+  // trotzdem sinnvoll, weil jeder Aufruf sonst eine Stripe-Abfrage ausloest.
+  const ip = await getClientIp();
+  if (!rateLimit(`checkout-cancel:${ip}`, CANCEL_ATTEMPTS_PER_WINDOW, CANCEL_WINDOW_MS)) return;
+
+  const order = await prisma.order.findUnique({
+    where: { cancelToken },
+    select: { id: true, orderNumber: true, status: true, stripeCheckoutSessionId: true },
+  });
+
+  // Unbekannter Token oder die Bestellung ist laengst nicht mehr offen
+  // (bezahlt, storniert, versendet) — nichts zu tun. Bewusst ohne
+  // unterscheidbare Rueckmeldung nach aussen: die Seite sieht in jedem Fall
+  // gleich aus und verraet damit nicht, ob es den Token gibt.
+  if (!order || order.status !== "NEU") return;
+
+  if (!order.stripeCheckoutSessionId) {
+    // Kann vorkommen, wenn das Speichern der Sitzungs-ID fehlgeschlagen ist
+    // (best-effort, siehe api/checkout/route.ts). Ohne sie laesst sich bei
+    // Stripe nicht pruefen, ob doch bezahlt wurde — also nichts zurueckbuchen
+    // und den Ablauf der Sitzung abwarten, der ueber den Webhook ohnehin
+    // greift.
+    console.warn(
+      `[checkout-cancel] Bestellung ${order.orderNumber} hat keine Stripe-Sitzung hinterlegt; Freigabe erst bei Ablauf der Sitzung.`
+    );
+    return;
+  }
+
+  try {
+    const stripe = getStripeClient();
+    const session = await stripe.checkout.sessions.retrieve(order.stripeCheckoutSessionId);
+
+    // "complete" heisst bezahlt oder in Bearbeitung — dann ist dieser
+    // Seitenaufruf kein Abbruch, sondern ein Zurueck-Klick nach erfolgreicher
+    // Zahlung. Finger weg.
+    if (session.status === "complete") return;
+
+    // "open" heisst: noch bezahlbar. Erst die Sitzung schliessen, damit
+    // niemand die bereits freigegebene Ware im naechsten Moment doch noch
+    // bezahlt, und erst danach zurueckbuchen.
+    if (session.status === "open") {
+      await stripe.checkout.sessions.expire(order.stripeCheckoutSessionId);
+    }
+
+    // Uebrig bleiben "open" (gerade geschlossen) und "expired" — in beiden
+    // Faellen kann nicht mehr bezahlt werden. Stripe schickt dazu ein
+    // checkout.session.expired-Ereignis; der Webhook findet die Bestellung
+    // dann nicht mehr im Status "NEU" und tut nichts weiter (siehe
+    // lib/order-release.ts).
+    const released = await releaseUnpaidOrder(order.id, 0);
+    if (released) {
+      console.info(`[checkout-cancel] Bestellung ${released.orderNumber} abgebrochen, Bestand freigegeben.`);
+    }
+  } catch (error: unknown) {
+    // Nicht weiterwerfen: die Person hat gerade abgebrochen und soll die
+    // Abbruchseite sehen, nicht einen Serverfehler. Der Bestand kommt dann
+    // spaetestens mit dem Ablauf der Sitzung zurueck.
+    console.error(
+      `[checkout-cancel] Bestellung ${order.orderNumber} konnte nicht freigegeben werden:`,
+      error
+    );
+  }
+}
+
+export default async function CheckoutCancelPage(props: PageProps<"/checkout/cancel">) {
   const t = getDictionary(await getLocale());
+  const { ref } = await props.searchParams;
+
+  if (typeof ref === "string" && ref) {
+    await releaseCheckout(ref);
+    // Token aus Adresszeile, Verlauf und Referer nehmen, sobald er seinen
+    // Zweck erfuellt hat. Er gibt zwar nur genau diese eine, gerade
+    // abgebrochene Bestellung frei, aber ein Geheimnis gehoert nicht laenger
+    // sichtbar herum, als es gebraucht wird.
+    redirect("/checkout/cancel");
+  }
+
   return (
     <div className="py-24">
       <Container className="max-w-xl text-center">
@@ -19,6 +122,9 @@ export default async function CheckoutCancelPage() {
         <p className="mt-6 text-ink/70">
           {t.checkoutCancelPage.text}
         </p>
+        <p className="mt-3 text-sm text-ink/60">
+          {t.checkoutCancelPage.released}
+        </p>
         <LinkButton href="/warenkorb" className="mt-10">
           {t.checkoutCancelPage.backToCart}
         </LinkButton>