Redirect the other www spelling to SITE_ORIGIN, hold roles to the role help and fix the audit findings

SITE_ORIGIN alone decides whether the site is www or not: CanonicalHostSubscriber
sends the other spelling there with 301, cms:site:origin writes the setting, the
system screen shows it. The roles now match the role help (editor: drafts,
publisher: live content, admin: design, settings, users, system). The installer no
longer reopens on an unreachable database, the session cookie follows ADMIN_PATH,
percent-encoded credentials no longer break the container, consent only accepts
same-site decisions, JSON-LD is HTML-safe, own CSS stays in its block, plus the
editor, updater, download and public-output findings from the full review
(ADR 099, ADR 100).

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

src/Controller/ConsentController.php

@@ -34,11 +34,33 @@ final class ConsentController extends AbstractController
             default => array_map(static fn (mixed $group): string => (string) $group, (array) $request->request->all('groups')),
         };
         $response = $this->redirect($this->backTo($request));
-        $this->consent->remember($request, $response, $groups);
+        // Eine Entscheidung trifft nur der eigene Browser auf dieser Website. Ein fremdes Formular,
+        // das hierher postet, darf keine Einwilligung eintragen - die Route hat keine Sitzung und
+        // damit kein CSRF-Token, also entscheidet die Herkunft der Anfrage.
+        if ($this->sameSite($request)) {
+            $this->consent->remember($request, $response, $groups);
+        }
 
         return $response;
     }
 
+    /** Ob die Anfrage von dieser Website kommt - nach dem, was der Browser darueber sagt. */
+    private function sameSite(Request $request): bool
+    {
+        $site = $request->headers->get('Sec-Fetch-Site');
+        if (null !== $site) {
+            return \in_array($site, ['same-origin', 'same-site', 'none'], true);
+        }
+        $origin = $request->headers->get('Origin') ?? $request->headers->get('Referer');
+        if (null === $origin || '' === $origin) {
+            // Aeltere Browser nennen keine Herkunft; ohne Anhaltspunkt bleibt die Frage beantwortbar.
+            return true;
+        }
+        $host = parse_url($origin, PHP_URL_HOST);
+
+        return \is_string($host) && strtolower($host) === strtolower($request->getHost());
+    }
+
     #[Route('/einwilligung', name: 'consent_page', methods: ['GET'])]
     public function page(Request $request): Response
     {
@@ -73,7 +95,9 @@ final class ConsentController extends AbstractController
     private function backTo(Request $request): string
     {
         $target = $request->request->getString('back');
-        if ('' === $target || !str_starts_with($target, '/') || str_starts_with($target, '//')) {
+        // Nur ein Pfad dieser Website: `//fremd.example` ist protokollrelativ, und `/\fremd.example`
+        // lesen Browser genauso.
+        if ('' === $target || 1 !== preg_match('#^/(?![/\\\\])#', $target)) {
             return '/';
         }
 

src/Controller/EditorController.php

@@ -286,6 +286,11 @@ final class EditorController extends AbstractController
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }
         try {
+            // Dieselbe Regel wie beim Speichern: Skripte aendert nur ein Administrator - auch nicht
+            // ueber den Umweg einer alten Fassung.
+            if (!$this->isGranted('ROLE_ADMIN')) {
+                $this->code->assertScriptsUnchanged($this->pages->revisionDocument($id, $revision), $this->pages->findForEditor($id)['document']);
+            }
             $this->pages->restoreRevision($id, $revision, $request->request->getInt('expectedVersion', -1));
         } catch (InvalidPage|StaleWrite $e) {
             return $this->back($e->getMessage());

src/Controller/FormAdminController.php

@@ -21,6 +21,9 @@ final class FormAdminController extends AbstractController
     #[Route('/%kant.admin_path%/forms', name: 'admin_forms', methods: ['GET'])]
     public function index(Request $request): Response
     {
+        // Empfaenger, Felder und die Einsendungen selbst: nichts davon gehoert in die Hand einer
+        // Rolle, die nicht einmal eine Seite veroeffentlichen darf.
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         $theme = $this->theme->load();
 
         return $this->render('admin/forms.html.twig', [
@@ -37,7 +40,7 @@ final class FormAdminController extends AbstractController
     #[Route('/%kant.admin_path%/forms/{slug}', name: 'admin_form_save', requirements: ['slug' => '[a-z0-9-]{1,80}|neu'], methods: ['POST'])]
     public function save(Request $request, string $slug): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('forms', $request->request->getString('_csrf_token'))) {
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }

src/Controller/MenuController.php

@@ -20,6 +20,8 @@ final class MenuController extends AbstractController
     #[Route('/%kant.admin_path%/menus', name: 'admin_menus', methods: ['GET'])]
     public function index(Request $request): Response
     {
+        // Ein gespeichertes Menue steht sofort auf der Website - Sache des Veroeffentlichers.
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         $slot = $request->query->getString('slot', 'header');
         $slot = isset(MenuRepository::SLOTS[$slot]) ? $slot : 'header';
         $menu = $this->menus->all()[$slot] ?? null;
@@ -43,7 +45,7 @@ final class MenuController extends AbstractController
     #[Route('/%kant.admin_path%/menus/{slot}', name: 'admin_menu_save', methods: ['POST'])]
     public function save(Request $request, string $slot): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('menus', $request->request->getString('_csrf_token'))) {
             return 'json' === $request->getPreferredFormat() ? $this->json(['error' => 'Deine Sitzung ist abgelaufen. Bitte erneut anmelden.'], 403) : $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.', slot: $slot);
         }

src/Controller/PageController.php

@@ -78,6 +78,10 @@ final class PageController extends AbstractController
         $documents = [$page['document'], ...array_values($areas), ...array_values($sections)];
         $needsSlider = (bool) array_filter($documents, fn (array $doc): bool => $this->hasType($doc, 'slider'));
         $needsMotion = (bool) array_filter($documents, fn (array $doc): bool => $this->hasEntrance($doc));
+        // Tabs und vergroesserbare Bilder koennen auch im Kopf, im Fuss oder in einer verknuepften
+        // Sektion stehen - das Skript und die Richtlinie dafuer richten sich nach allen Dokumenten.
+        $needsTabs = (bool) array_filter($documents, fn (array $doc): bool => $this->hasType($doc, 'tabs'));
+        $needsZoom = (bool) array_filter($documents, fn (array $doc): bool => $this->hasZoom($doc));
         // Only the header changes with the scroll position; a scrolled value anywhere in it asks
         // for the small script that marks the page as scrolled.
         // Den Nach-oben-Knopf blendet dasselbe Skript ein; ohne es bleibt er dauerhaft sichtbar.
@@ -111,7 +115,7 @@ final class PageController extends AbstractController
             // Die Nachbarn kosten eine Abfrage; sie fällt nur an, wenn die Seite den
             // Baustein wirklich enthält.
             'neighbours' => 'post' === $page['type'] && $this->hasType($page['document'], 'postnav') ? $this->posts->neighbours($page['id']) : [],
-            'needsTabs' => $this->hasType($page['document'], 'tabs'),
+            'needsTabs' => $needsTabs,
             // Ein Slider mit automatischem Weiterblättern ist der zweite Baustein, der
             // dafür ein Skript braucht - nach demselben Muster wie die Tabs.
             'needsSlider' => $needsSlider,
@@ -119,7 +123,7 @@ final class PageController extends AbstractController
             'needsScrolled' => $needsScrolled,
             // Ein Bild, das sich vergroessern laesst, ist ohne Skript ein Verweis auf die
             // grosse Fassung. Das Skript kommt nur dazu, wo es etwas zu tun hat.
-            'needsZoom' => $this->hasZoom($page['document']) || (bool) array_filter(array_values($areas), fn (array $area): bool => $this->hasZoom($area)),
+            'needsZoom' => $needsZoom,
             // Own scripts arrive as one file per page, never inline, so the policy can stay
             // hash based and no page without a script loses its strict setting.
             'pageScript' => [] === $this->code->scriptsOf($page['document']) ? null : '/assets/seite/'.$page['id'].'.js',
@@ -145,7 +149,7 @@ final class PageController extends AbstractController
         // Die Pruefung braucht ein Skript von Cloudflare und einen Rahmen dafuer. Beides wird nur
         // dort erlaubt, wo tatsaechlich ein Formular steht - nicht auf jeder Seite der Website.
         $mitTurnstile = $this->turnstile->isActive() && $this->hasType($page['document'], 'form');
-        $wantsScript = ($mitTurnstile || $this->hasType($page['document'], 'tabs') || $needsSlider || $needsMotion || $needsScrolled || $this->hasZoom($page['document']) || [] !== $this->code->scriptsOf($page['document']));
+        $wantsScript = ($mitTurnstile || $needsTabs || $needsSlider || $needsMotion || $needsScrolled || $needsZoom || [] !== $this->code->scriptsOf($page['document']));
         $frames = $this->frameHosts($request, $page['document'], ...array_values($areas), ...array_values($sections));
         if ($mitTurnstile) {
             $frames[] = 'challenges.cloudflare.com';

src/Controller/PartialController.php

@@ -44,6 +44,9 @@ final class PartialController extends AbstractController
     #[Route('', name: 'admin_partials', methods: ['GET'])]
     public function index(): Response
     {
+        // Ein Bereich kennt keinen Entwurf: Speichern ist Veroeffentlichen. Deshalb ist der ganze
+        // Bildschirm Sache des Veroeffentlichers, nicht erst der Speicherknopf.
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         $partials = [];
         foreach ($this->partials->all() as $partial) {
             $partial['usedBy'] = 'section' === $partial['kind'] ? $this->partials->usedBy($partial['slug']) : [];
@@ -56,7 +59,7 @@ final class PartialController extends AbstractController
     #[Route('/new', name: 'admin_partial_create', methods: ['POST'])]
     public function create(Request $request): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('partials', $request->request->getString('_csrf_token'))) {
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }
@@ -81,7 +84,7 @@ final class PartialController extends AbstractController
     #[Route('/{id}/delete', name: 'admin_partial_delete', requirements: ['id' => '[a-f0-9]{32}'], methods: ['POST'])]
     public function delete(Request $request, string $id): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('partials', $request->request->getString('_csrf_token'))) {
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }
@@ -97,12 +100,16 @@ final class PartialController extends AbstractController
     #[Route('/{id}', name: 'admin_partial_editor', requirements: ['id' => '[a-f0-9]{32}'], methods: ['GET'])]
     public function editor(string $id): Response
     {
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
+
         return $this->render('admin/editor.html.twig', ['partial' => $this->partial($id), 'kinds' => PartialRepository::KINDS]);
     }
 
     #[Route('/{id}/document', name: 'admin_partial_document', requirements: ['id' => '[a-f0-9]{32}'], methods: ['GET'])]
     public function document(string $id): JsonResponse
     {
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
+
         return $this->json($this->payload($this->partial($id)));
     }
 
@@ -110,7 +117,7 @@ final class PartialController extends AbstractController
     #[Route('/{id}/preview', name: 'admin_partial_preview', requirements: ['id' => '[a-f0-9]{32}'], methods: ['POST'])]
     public function write(Request $request, string $id): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('editor', $request->headers->get('X-CSRF-Token'))) {
             return $this->json(['error' => 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.'], 403);
         }

src/Controller/SeoController.php

@@ -39,7 +39,9 @@ final class SeoController extends AbstractController
         ) as $row) {
             $entries[] = [
                 'loc' => $origin.$this->settings->publicPath($row['path'], $home),
-                'lastmod' => substr((string) ($row['published_at'] ?? $row['created_at']), 0, 10),
+                // Das juengere der beiden Daten: eine spaeter bearbeitete und neu veroeffentlichte
+                // Seite behielte sonst das Datum ihrer ersten Veroeffentlichung.
+                'lastmod' => substr(max((string) ($row['published_at'] ?? ''), (string) ($row['created_at'] ?? '')), 0, 10),
             ];
         }
         // Archives exist only while they list something.

src/Controller/SettingsController.php

@@ -27,6 +27,10 @@ final class SettingsController extends AbstractController
     #[Route('/%kant.admin_path%/settings', name: 'admin_settings', methods: ['GET'])]
     public function index(Request $request): Response
     {
+        // Alles hier wirkt sofort auf die Website: 404-Seite und Weiterleitungen sind Sache des
+        // Veroeffentlichers, die Unternehmensdaten samt Einwilligung und Spamschutz die des
+        // Administrators - der Bildschirm blendet den Teil aus, den die Rolle nicht aendern darf.
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         $choosable = [];
         foreach ($this->pages->listForEditor() as $page) {
             // Only a published page can serve as the root; a draft would answer every visit with 404.
@@ -57,7 +61,7 @@ final class SettingsController extends AbstractController
     #[Route('/%kant.admin_path%/settings/company', name: 'admin_settings_save', methods: ['POST'])]
     public function save(Request $request): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
         if (!$this->isCsrfTokenValid('settings', $request->request->getString('_csrf_token'))) {
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }
@@ -101,7 +105,7 @@ final class SettingsController extends AbstractController
     #[Route('/%kant.admin_path%/settings/redirects', name: 'admin_redirect_save', methods: ['POST'])]
     public function saveRedirect(Request $request): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('settings', $request->request->getString('_csrf_token'))) {
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }
@@ -133,7 +137,7 @@ final class SettingsController extends AbstractController
     #[Route('/%kant.admin_path%/settings/rechtliches', name: 'admin_legal_pages', methods: ['POST'])]
     public function legalPages(Request $request): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_PUBLISHER');
         if (!$this->isCsrfTokenValid('settings', $request->request->getString('_csrf_token'))) {
             return $this->back('Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
         }

src/Controller/SystemController.php

@@ -21,7 +21,7 @@ use Symfony\Component\Routing\Attribute\Route;
  */
 final class SystemController extends AbstractController
 {
-    public function __construct(private Updater $updater, private Backup $backup, private ArchiveUpdate $archive, private Installation $installation, private string $adminPath, private string $databaseUrl, private string $mediaDirectory, private string $projectDir)
+    public function __construct(private Updater $updater, private Backup $backup, private ArchiveUpdate $archive, private Installation $installation, private string $adminPath, private string $databaseUrl, private string $mediaDirectory, private string $projectDir, private string $siteOrigin)
     {
     }
 
@@ -50,6 +50,11 @@ final class SystemController extends AbstractController
             'pendingMigrations' => $this->pendingMigrations(),
             // Actual runtime connection, with credentials excluded from the screen.
             'database' => $this->databaseFacts(),
+            // Die Adresse, die Sitemap, Feed und Canonical nennen - und ob die Verwaltung gerade
+            // unter ihr laeuft. Die Schreibweise mit oder ohne www leitet die Anwendung selbst um;
+            // ein ganz anderer Host (Vorschauadresse des Hosters, IP) bleibt erreichbar und
+            // bekommt hier den Hinweis, dass die Website woanders eingetragen ist.
+            'origin' => $this->originFacts($request),
         ]);
     }
 
@@ -114,6 +119,22 @@ final class SystemController extends AbstractController
         ];
     }
 
+    /**
+     * @return array{adresse: string, quelle: string, host: string, passt: bool}
+     */
+    private function originFacts(Request $request): array
+    {
+        $wanted = strtolower((string) parse_url(trim($this->siteOrigin), PHP_URL_HOST));
+        $port = parse_url(trim($this->siteOrigin), PHP_URL_PORT);
+
+        return [
+            'adresse' => $this->siteOrigin,
+            'quelle' => $this->environmentSource('SITE_ORIGIN'),
+            'host' => $request->getHttpHost(),
+            'passt' => '' !== $wanted && strtolower($request->getHost()) === $wanted && (null === $port || $request->getPort() === $port),
+        ];
+    }
+
     /** Explicit server values take precedence over the single installation file. */
     private function environmentSource(string $name): string
     {

src/Controller/ThemeController.php

@@ -20,6 +20,9 @@ final class ThemeController extends AbstractController
     #[Route('/%kant.admin_path%/theme', name: 'admin_theme', methods: ['GET'])]
     public function index(): Response
     {
+        // Das Design gilt sofort auf jeder Seite - das ist Administratorensache, wie die
+        // Rollenhilfe es verspricht.
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
         $theme = $this->theme->load();
 
         return $this->render('admin/theme.html.twig', [
@@ -46,7 +49,7 @@ final class ThemeController extends AbstractController
     #[Route('/%kant.admin_path%/theme/fonts', name: 'admin_theme_fonts', methods: ['POST'])]
     public function fonts(Request $request): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
         if (!$this->isCsrfTokenValid('theme', $request->request->getString('_csrf_token'))) {
             $this->addFlash('error', 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');
 
@@ -75,7 +78,7 @@ final class ThemeController extends AbstractController
     #[Route('/%kant.admin_path%/theme/save', name: 'admin_theme_save', methods: ['POST'])]
     public function save(Request $request): Response
     {
-        $this->denyAccessUnlessGranted('ROLE_EDITOR');
+        $this->denyAccessUnlessGranted('ROLE_ADMIN');
         if (!$this->isCsrfTokenValid('theme', $request->request->getString('_csrf_token'))) {
             $this->addFlash('error', 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.');