Stop text from being encoded again on every save

Umut: "Beim Startseitenbild wird der Text & umgewandelt, aber in der Ansicht
nach dem Speichern wird & daraus."

RichText::sanitise() treated text without a single tag as plain text and only
escaped it. What the editor sends is HTML, tag or no tag - so "Freudenstadt
& Umgebung" gained one level of encoding on every save (&,
& ...) until the entity stood on the page for everyone to read.
The draft of the kant-it.de home page had already reached three levels.

The same branch carried a second fault of the same kind: nl2br() left the
newline behind the <br>, and the next pass turned it into a second <br> via
breakLines() - one paragraph became two. The branch now decodes first and
replaces the line break instead of adding to it, so it ends up with the same
representation as the DOM branch and both are stable under repeated saves.

scripts/repair-doubled-entities.php cleans up what is already stored: the
published and draft revision of every page and the areas, with a dry run,
each change checked against the validator. Older revisions stay as history.

DEEG: favicon is now its own square mark - the roof gable from the logo,
white on the logo blue, rendered from logo-deeg.png - instead of the centre
crop of the wide logo, which showed the "EE" of the wordmark.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -4,6 +4,10 @@ Selbst betreibbares Block-CMS für PHP-Webhosting mit visuellem Editor nach dem
 
 Die übernommenen Originaldokumente sind `AGENTS.md` und `ENTWICKLUNGSPLAN.md`. Den tatsächlichen Stand enthält `docs/STATUS.md`, Entscheidungen und Datenmodell stehen in `docs/ARCHITECTURE.md`.
 
+## Kaufmännisches Und und Zeilenumbrüche bleiben, wie sie sind (ab 1.20.1)
+
+**Behoben.** Ein Text ohne Auszeichnung wurde beim Speichern doppelt kodiert: aus `&` wurde `&amp;`, beim nächsten Speichern `&amp;amp;` – irgendwann stand die Entity sichtbar auf der Seite. Ebenso wuchsen Zeilenumbrüche: jedes zweite Speichern machte aus einem `<br>` zwei. Beides ist behoben, und wiederholtes Speichern ändert einen Text jetzt nicht mehr. Was bereits falsch gespeichert ist, räumt `php scripts/repair-doubled-entities.php` auf (erst Trockenlauf, dann `--schreiben`).
+
 ## Eigenes HTML und eingebettete Seiten (ab 1.20.0)
 
 Der Baustein **Eigenes HTML** (Werkzeugkasten, Gruppe „Seite und Daten“) nimmt Markup auf, das unverändert auf der Seite landet – eigene Tabellen, fremde Widgets, Auszeichnungen, die es als Baustein nicht gibt. Ändern darf ihn nur ein **Administrator**, genau wie das Feld „Eigenes Skript“; für alle anderen ist er sichtbar und schreibgeschützt, und der Server weist eine Änderung ohnehin ab. Zwei Tags nimmt er nicht an: `<script>` gehört unter „Erweitert“ in „Eigenes Skript“, und ein `<iframe>` in den Baustein **Externer Inhalt** – nur der fragt vorher um Einwilligung und trägt den Anbieter in die Sicherheitsrichtlinie ein (ADR 106).

docs/STATUS.md

@@ -1,5 +1,19 @@
 # Projektstatus
 
+## Fassung 1.20.1: das kaufmännische Und, das bei jedem Speichern wuchs (16.09.2026)
+
+**Anlass:** Umut: „Beim Startseitenbild wird der Text & umgewandelt, aber in der Ansicht nach dem Speichern wird & daraus.“
+
+**Ursache.** `RichText::sanitise()` hat Text ohne ein einziges Tag als reinen Text behandelt und nur escaped. Was der Editor schickt, ist aber HTML – auch ohne Tag. Aus `Freudenstadt &amp; Umgebung` wurde so bei **jedem** Speichern eine Stufe mehr: `&amp;amp;`, `&amp;amp;amp;` … bis die Entity sichtbar auf der Seite stand. Auf kant-it.de war der Entwurf der Startseite schon bei drei Stufen. Derselbe Zweig hatte einen zweiten Fehler gleicher Art: `nl2br()` ließ den Zeilenumbruch hinter dem `<br>` stehen, und der nächste Durchlauf machte über `breakLines()` ein zweites `<br>` daraus – aus einem Absatz wurden zwei.
+
+**Behoben.** Der Zweig dekodiert jetzt zuerst (`html_entity_decode`) und escaped danach, und er ersetzt den Umbruch, statt ihn zu ergänzen. Damit endet er bei derselben Darstellung wie der DOM-Zweig, und beide sind unveränderlich gegenüber wiederholtem Speichern.
+
+**Bestand.** `scripts/repair-doubled-entities.php` räumt auf, was schon gespeichert ist: veröffentlichte Fassung und Entwurf jeder Seite sowie die Bereiche, mit Trockenlauf und `--schreiben`, jede Änderung gegen den Validator geprüft. Ältere Fassungen bleiben Historie. Auf DEEG angewandt (eine Stelle im Entwurf der Startseite). **Offen: kant-it.de** – dort stehen zwei dreifach kodierte Stellen im Entwurf der Startseite; das Skript gehört nach dem Update dort einmal ausgeführt, sonst steht der Murks beim nächsten Veröffentlichen live.
+
+**Geprüft:** neuer Test in `tests/CmsTest.php`: sechs Eingaben (Entity, nacktes Und, `<`, Zeilenumbruch, Markup, wörtliche Tags) dreimal hintereinander durch `sanitise()` – jedes Mal dasselbe Ergebnis; dazu eine Seite, die dreimal gespeichert und veröffentlicht wird und danach immer noch ein einziges `&amp;` trägt.
+
+**Nebenbei (DEEG):** Das Favicon zeigte den mittigen Ausschnitt des Logos, also „EE“ aus dem Schriftzug. Neu ist ein eigenes quadratisches Zeichen: der Dachgiebel aus dem Logo, weiß auf Logo-Blau, gerendert aus `logo-deeg.png` von `scripts/set-immobilien-deeg-favicon.php`. Vier Entwürfe standen zur Wahl (Doppeldach, Giebel, Dach blau auf weiß, Buchstabe D), Umut hat den Giebel gewählt.
+
 ## Baustein „Eigenes HTML“, DEEG-Angebotsseite (16.09.2026)
 
 **Anlass:** Umut: „Als Baustein im Editor, dass man individuelles HTML einfügen kann … z. B. eine neue Angebotsseite bei DEEG, da soll ein iframe rein, im gleichen Stil wie das Impressum.“

scripts/repair-doubled-entities.php

@@ -0,0 +1,127 @@
+<?php
+
+/**
+ * Repariert Texte, die durch das doppelte Kodieren in `RichText::sanitise()` verschachtelt wurden.
+ *
+ * Bis 1.20.0 hat der Zweig für Text ohne Tags die Eingabe nur escaped, statt sie vorher zu
+ * dekodieren. Aus „Freudenstadt &amp; Umgebung“ wurde bei jedem Speichern eine Stufe mehr
+ * (`&amp;amp;`, `&amp;amp;amp;` …), bis die Entity sichtbar auf der Seite stand. Der Fehler ist
+ * behoben; dieses Skript räumt auf, was schon gespeichert ist.
+ *
+ * Angefasst werden die Dokumente, die tatsächlich in Gebrauch sind: die veröffentlichte und die
+ * Entwurfsfassung jeder Seite sowie die Bereiche. Ältere Fassungen bleiben, wie sie sind – sie
+ * sind Historie; wer eine davon zurückholt, speichert sie danach einmal, und der reparierte Kern
+ * schreibt sie richtig.
+ *
+ * Aufruf: php scripts/repair-doubled-entities.php [--schreiben]
+ * Ohne `--schreiben` wird nur gezeigt, was sich ändern würde.
+ */
+require dirname(__DIR__).'/config/bootstrap.php';
+
+use App\Content\DocumentValidator;
+use App\Infrastructure\ConnectionFactory;
+
+$root = dirname(__DIR__);
+$schreiben = in_array('--schreiben', $argv, true);
+$url = str_replace('%kernel.project_dir%', str_replace('\\', '/', $root), (string) $_SERVER['DATABASE_URL']);
+$db = ConnectionFactory::create($url);
+$validator = new DocumentValidator();
+
+/** Entschachtelt eine doppelt kodierte Entity, so oft wie nötig: &amp;amp;amp; wird zu &amp;. */
+$entschachteln = static function (string $text): string {
+    $vorher = null;
+    // Nur eine Entity hinter einem &amp; ist ein Fehler - ein einzelnes &amp; ist richtig.
+    while ($vorher !== $text) {
+        $vorher = $text;
+        $text = preg_replace('/&amp;(amp|lt|gt|quot|apos|nbsp|#\d{1,6}|#x[0-9a-fA-F]{1,6});/', '&$1;', $text) ?? $text;
+    }
+
+    return $text;
+};
+
+/** Läuft durch die Bausteine und korrigiert die Texte; zählt die Änderungen. */
+$bausteine = function (array $liste, int &$zahl, array &$beispiele) use (&$bausteine, $entschachteln): array {
+    foreach ($liste as $index => $block) {
+        foreach (['text', 'caption', 'label', 'title', 'hint', 'provider'] as $feld) {
+            $wert = $block['props'][$feld] ?? null;
+            if (!is_string($wert) || '' === $wert) {
+                continue;
+            }
+            $neu = $entschachteln($wert);
+            if ($neu !== $wert) {
+                $liste[$index]['props'][$feld] = $neu;
+                ++$zahl;
+                if (count($beispiele) < 6) {
+                    $beispiele[] = mb_substr($wert, 0, 60).' → '.mb_substr($neu, 0, 60);
+                }
+            }
+        }
+        if (isset($block['children']) && is_array($block['children'])) {
+            $liste[$index]['children'] = $bausteine($block['children'], $zahl, $beispiele);
+        }
+    }
+
+    return $liste;
+};
+
+$gesamt = 0;
+$berichte = [];
+
+// Die aktiven Fassungen jeder Seite: veröffentlicht und Entwurf.
+$aktive = [];
+foreach ($db->fetchAllAssociative('SELECT id, path, published_revision_id, draft_revision_id FROM page') as $seite) {
+    foreach (['published_revision_id' => 'veröffentlicht', 'draft_revision_id' => 'Entwurf'] as $spalte => $was) {
+        if (!empty($seite[$spalte])) {
+            $aktive[(string) $seite[$spalte]] = '/'.$seite['path'].' ('.$was.')';
+        }
+    }
+}
+foreach ($aktive as $revision => $bezeichnung) {
+    $roh = $db->fetchOne('SELECT document FROM revision WHERE id = ?', [$revision]);
+    if (!is_string($roh)) {
+        continue;
+    }
+    $dokument = json_decode($roh, true, 512, JSON_THROW_ON_ERROR);
+    $zahl = 0;
+    $beispiele = [];
+    $dokument['blocks'] = $bausteine($dokument['blocks'] ?? [], $zahl, $beispiele);
+    if (0 === $zahl) {
+        continue;
+    }
+    $gesamt += $zahl;
+    $berichte[] = ['was' => $bezeichnung, 'zahl' => $zahl, 'beispiele' => $beispiele];
+    if ($schreiben) {
+        // Geprüft wird wie beim Speichern - eine Korrektur darf kein ungültiges Dokument hinterlassen.
+        $validator->validate($dokument, writing: true);
+        $db->executeStatement('UPDATE revision SET document = ? WHERE id = ?', [json_encode($dokument, JSON_THROW_ON_ERROR | JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES), $revision]);
+    }
+}
+
+// Und die Bereiche (Kopf, Fuß, verknüpfte Sektionen).
+foreach ($db->fetchAllAssociative('SELECT id, kind, name, document FROM partial') as $bereich) {
+    $dokument = json_decode((string) $bereich['document'], true, 512, JSON_THROW_ON_ERROR);
+    $zahl = 0;
+    $beispiele = [];
+    $dokument['blocks'] = $bausteine($dokument['blocks'] ?? [], $zahl, $beispiele);
+    if (0 === $zahl) {
+        continue;
+    }
+    $gesamt += $zahl;
+    $berichte[] = ['was' => 'Bereich '.$bereich['kind'].' „'.$bereich['name'].'“', 'zahl' => $zahl, 'beispiele' => $beispiele];
+    if ($schreiben) {
+        $validator->validate($dokument, writing: true);
+        $db->executeStatement('UPDATE partial SET document = ? WHERE id = ?', [json_encode($dokument, JSON_THROW_ON_ERROR | JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES), $bereich['id']]);
+    }
+}
+
+foreach ($berichte as $bericht) {
+    echo $bericht['was'], ': ', $bericht['zahl'], ' Stelle(n)', "\n";
+    foreach ($bericht['beispiele'] as $beispiel) {
+        echo '    ', $beispiel, "\n";
+    }
+}
+if (0 === $gesamt) {
+    echo "Nichts zu reparieren.\n";
+    exit(0);
+}
+echo $schreiben ? "$gesamt Stelle(n) repariert.\n" : "$gesamt Stelle(n) gefunden. Mit --schreiben anwenden.\n";

scripts/set-immobilien-deeg-favicon.php

@@ -0,0 +1,99 @@
+<?php
+
+/**
+ * Baut das Favicon der DEEG-Installation aus dem Logo und setzt es.
+ *
+ * Bisher zeigte das Symbol auf das Logo selbst. Das Logo ist 209x100 – der Kern schneidet daraus
+ * mittig ein Quadrat, und übrig blieb das „EE“ aus dem Schriftzug. Ein Favicon wird bei 16 px
+ * gelesen, also braucht es ein eigenes, quadratisches Zeichen: ein Dachgiebel aus dem Logo, weiß
+ * auf Logo-Blau. Das Dach ist das Markenzeichen und bleibt auch klein eine Silhouette; der
+ * flächige blaue Grund trägt es auf hellen wie dunklen Browserleisten.
+ *
+ * Gerendert wird aus `logo-deeg.png`, damit das Symbol bei einem neuen Logo neu entsteht statt
+ * als Fremdkörper in der Mediathek zu liegen. Läuft nur gegen die DEEG-Datenbank.
+ */
+require dirname(__DIR__).'/config/bootstrap.php';
+
+use App\Content\MediaLibrary;
+use App\Content\SiteSettings;
+use App\Infrastructure\ConnectionFactory;
+use Symfony\Component\HttpFoundation\File\UploadedFile;
+
+$root = dirname(__DIR__);
+$url = str_replace('%kernel.project_dir%', str_replace('\\', '/', $root), (string) $_SERVER['DATABASE_URL']);
+if (!str_contains($url, 'immobilien-deeg')) {
+    fwrite(STDERR, "Sicherung: DATABASE_URL muss auf die DEEG-Datenbank zeigen.\n");
+    exit(1);
+}
+$quelle = $argv[1] ?? $root.'/var/immobilien-deeg-assets/logo-deeg.png';
+if (!is_file($quelle)) {
+    fwrite(STDERR, "Logo nicht gefunden: $quelle\n");
+    exit(1);
+}
+
+// Der linke Giebel des Doppeldachs im Logo. Die Maße stammen aus dem Bild selbst: das Dach liegt
+// über dem Schriftzug, x 3-203, y 0-40; die Hälfte davon ist ein Giebel.
+$AUSSCHNITT = ['x1' => 3, 'y1' => 0, 'x2' => 103, 'y2' => 40];
+$BLAU = [0, 129, 199]; // #0081c7, das Logo-Blau
+$KANTE = 512;          // Vorlage für alle Ableitungen des Kerns (16 bis 180)
+$RAND = 0.06;          // wenig Luft: klein gelesen zählt jede Fläche
+
+$logo = imagecreatefrompng($quelle);
+$w = $AUSSCHNITT['x2'] - $AUSSCHNITT['x1'] + 1;
+$h = $AUSSCHNITT['y2'] - $AUSSCHNITT['y1'] + 1;
+$zeichen = imagecreatetruecolor($w, $h);
+imagealphablending($zeichen, false);
+imagesavealpha($zeichen, true);
+imagefilledrectangle($zeichen, 0, 0, $w, $h, imagecolorallocatealpha($zeichen, 0, 0, 0, 127));
+for ($y = 0; $y < $h; ++$y) {
+    for ($x = 0; $x < $w; ++$x) {
+        // Das Logo ist ein Palettenbild; imagecolorsforindex beantwortet Palette und Truecolor.
+        $c = imagecolorsforindex($logo, imagecolorat($logo, $AUSSCHNITT['x1'] + $x, $AUSSCHNITT['y1'] + $y));
+        $hell = $c['red'] > 230 && $c['green'] > 230 && $c['blue'] > 230;
+        if ($c['alpha'] > 100 || $hell) {
+            continue;
+        }
+        imagesetpixel($zeichen, $x, $y, imagecolorallocate($zeichen, 255, 255, 255));
+    }
+}
+imagedestroy($logo);
+
+$symbol = imagecreatetruecolor($KANTE, $KANTE);
+imagealphablending($symbol, false);
+imagesavealpha($symbol, true);
+imagefilledrectangle($symbol, 0, 0, $KANTE, $KANTE, imagecolorallocate($symbol, $BLAU[0], $BLAU[1], $BLAU[2]));
+imagealphablending($symbol, true);
+$platz = (int) round($KANTE * (1 - 2 * $RAND));
+$faktor = min($platz / $w, $platz / $h);
+$zw = (int) round($w * $faktor);
+$zh = (int) round($h * $faktor);
+imagecopyresampled($symbol, $zeichen, (int) (($KANTE - $zw) / 2), (int) (($KANTE - $zh) / 2), 0, 0, $zw, $zh, $w, $h);
+imagedestroy($zeichen);
+
+$datei = sys_get_temp_dir().'/favicon-deeg.png';
+imagepng($symbol, $datei, 9);
+imagedestroy($symbol);
+echo "Symbol gerendert: {$KANTE}x{$KANTE}\n";
+
+$db = ConnectionFactory::create($url);
+$media = new MediaLibrary($db, str_replace('%kernel.project_dir%', $root, (string) $_SERVER['MEDIA_DIRECTORY']));
+$settings = new SiteSettings($db, $media);
+
+$eintrag = $media->upload(new UploadedFile($datei, 'favicon-deeg.png', null, null, true));
+$media->update($eintrag['id'], [
+    'title' => 'Favicon DEEG',
+    'alt' => 'Dachgiebel aus dem DEEG-Logo, weiß auf Blau',
+    'archived' => false,
+    'version' => $eintrag['version'],
+]);
+@unlink($datei);
+echo "In der Mediathek: {$eintrag['id']}\n";
+
+$aktuell = $settings->load();
+$settings->save([
+    ...$aktuell,
+    // Gespeichert als Liste, erwartet als Textfeld - wie es der Einstellungsbildschirm schickt.
+    'sameAs' => implode("\n", $aktuell['sameAs']),
+    'faviconMediaId' => $eintrag['id'],
+]);
+echo "Favicon gesetzt; der Kern hat 32 px (Browserleiste) und 180 px (Apple-Touch) daraus gerendert.\n";

src/Content/RichText.php

@@ -50,7 +50,19 @@ final class RichText
         }
         if (!str_contains($html, '<')) {
             // Plain text: escape it and keep line breaks, so typing without formatting still works.
-            return nl2br(htmlspecialchars($html, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'), false);
+            //
+            // Erst dekodieren: Was aus dem Editor kommt, ist HTML - auch ohne ein einziges Tag.
+            // „Freudenstadt &amp; Umgebung“ meint ein kaufmaennisches Und. Ohne diesen Schritt
+            // wuerde daraus bei jedem Speichern eine Entity mehr (&amp;amp;, &amp;amp;amp; ...),
+            // bis sie sichtbar auf der Seite steht. Der Zweig mit Tags macht es ueber den DOM
+            // laengst richtig; dieser hier zog nach.
+            $text = html_entity_decode($html, ENT_QUOTES | ENT_HTML5, 'UTF-8');
+
+            // Der Umbruch wird ersetzt, nicht ergaenzt: nl2br() liess den Zeilenumbruch
+            // hinter dem <br> stehen, und beim naechsten Speichern machte breakLines()
+            // daraus ein zweites <br> - aus einem Absatz wurden zwei. So enden beide Zweige
+            // bei derselben Darstellung.
+            return str_replace(["\r\n", "\r", "\n"], '<br>', htmlspecialchars($text, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'));
         }
 
         $document = new \DOMDocument();

tests/CmsTest.php

@@ -3111,6 +3111,46 @@ final class CmsTest extends TestCase
         $code->assertScriptsUnchanged($added, $before);
     }
 
+    public function testSavingTextTwiceKeepsAmpersandsAndLineBreaksAsTheyAre(): void
+    {
+        // Umut: „Beim Startseitenbild wird & umgewandelt, aber nach dem Speichern steht &
+        // da.“ Der Editor schickt HTML - auch ein Text ohne ein einziges Tag. Wurde der nur
+        // escaped statt vorher dekodiert, wuchs die Entity bei jedem Speichern um eine Stufe,
+        // bis sie sichtbar auf der Seite stand. Dasselbe galt fuer den Zeilenumbruch: nl2br()
+        // liess das \n hinter dem <br> stehen, und der zweite Durchlauf machte zwei daraus.
+        $text = new RichText();
+        foreach ([
+            'Freudenstadt &amp; Umgebung' => 'Freudenstadt &amp; Umgebung',
+            'Haus & Hof' => 'Haus &amp; Hof',
+            '5 < 7 & mehr' => '5 &lt; 7 &amp; mehr',
+            "Zeile eins\nZeile zwei" => 'Zeile eins<br>Zeile zwei',
+            '<p>A &amp; B</p>' => '<p>A &amp; B</p>',
+            '&lt;b&gt;woertlich&lt;/b&gt;' => '&lt;b&gt;woertlich&lt;/b&gt;',
+        ] as $eingabe => $erwartet) {
+            $einmal = $text->sanitise($eingabe);
+            self::assertSame($erwartet, $einmal, $eingabe);
+            // Und jedes weitere Speichern laesst es, wie es ist.
+            self::assertSame($einmal, $text->sanitise($einmal), 'zweites Speichern: '.$eingabe);
+            self::assertSame($einmal, $text->sanitise($text->sanitise($einmal)), 'drittes Speichern: '.$eingabe);
+        }
+
+        // Und durch das ganze Dokument, so wie es beim Speichern einer Seite passiert.
+        $document = DemoContent::starter('Kaufmaennisches Und');
+        $document['schemaVersion'] = 17;
+        $document['blocks'][0]['children'][0]['props']['text'] = 'Freudenstadt &amp; Umgebung';
+        $document['blocks'][0]['children'][1]['props']['text'] = 'Immobilien & Verwaltung';
+        $id = $this->publishedPage('und', 'Und');
+        for ($runde = 0; $runde < 3; ++$runde) {
+            $stand = $this->pages->findForEditor($id);
+            $this->pages->publish($id, $this->pages->saveDraft($id, $document, $stand['version']), $this->pages->findForEditor($id)['version']);
+            $document = $this->pages->findForEditor($id)['document'];
+        }
+        $html = $this->request('/und')->getContent();
+        self::assertStringContainsString('Freudenstadt &amp; Umgebung', $html);
+        self::assertStringContainsString('Immobilien &amp; Verwaltung', $html);
+        self::assertStringNotContainsString('&amp;amp;', $html, 'Nach drei Speichervorgaengen steht immer noch ein einziges Und da.');
+    }
+
     public function testOwnHtmlReachesThePageUnchangedAndRefusesScriptAndFrame(): void
     {
         // Der Baustein „Eigenes HTML“ (Schema v24): Markup des Betreibers, unverändert auf der