${escHtml(subject)}

Sehr geehrte Damen und Herren${toName ? \" bei \" + escHtml(toName) + \"\" : \"\"},

wir bitten Sie um ein Alternativangebot für einen Wartungsvertrag für folgendes Objekt:

\n \n \n \n \n

Objekt:	${escHtml(objektLine)}
Anzahl Aufzüge:	${escHtml(String(cs.anzahl_aufzuege \|\| \"—\"))}
Anlagenart:	${escHtml(String(cs.anlagenart \|\| \"—\"))}

\n ${cs.leistungsumfang_text ? `

Gewünschter Leistungsumfang:

${escHtml(String(cs.leistungsumfang_text))}

` : \"\"}\n

Bitte geben Sie Ihre Eckdaten (Preis netto/Jahr, Laufzeit, Kündigungsfrist, Leistungen) über folgenden Link ein — kein Login nötig:

▶ Angebot abgeben

Falls der Button nicht funktioniert, kopieren Sie diesen Link in den Browser:
${escHtml(params.landingUrl)}

Antwortfrist: ${escHtml(ddDate)}

Hinweis: Das endgültige Angebot wird durch Liftaro ausgestellt. Sie agieren als Subunternehmer. Bei Annahme erhalten Sie die vollständigen Auftragsdaten.${params.includeVorliegendes ? \"

Das vorliegende Bestands-Angebot ist auf der Landing-Page zur Einsicht verfügbar.\" : \"\"}

Vielen Dank!
Liftaro GmbH
liftaro.de

\n`;\n\n const resp = await fetch(SMTP_VAL_URL, {\n method: \"POST\",\n headers: { \"Content-Type\": \"application/json\", \"X-App-Secret\": SMTP_VAL_SECRET },\n body: JSON.stringify({\n to: toEmail,\n subject,\n text: body,\n html,\n replyTo: \"check@liftaro.de\",\n }),\n });\n if (!resp.ok) {\n const t = await resp.text();\n console.warn(\"[partner-api] sendPartnerEmail failed:\", resp.status, t.slice(0, 300));\n // Nicht fatal — Anfrage bleibt angelegt, kann manuell erneut gesendet werden\n }\n}\n\n// ── Route-Handler ──────────────────────────────────────────────────────\nasync function handleCreateAnfrage(req: Request): Promise {\n if (!checkAppSecret(req)) return json({ error: \"Auth failed\" }, 401);\n let body: any;\n try { body = await req.json(); } catch { return json({ error: \"Invalid JSON\" }, 400); }\n const checkId = String(body.check_id || \"\").trim();\n const partnerId = String(body.partner_id || \"\").trim();\n const partnerEmail = String(body.partner_email || \"\").trim();\n const partnerName = String(body.partner_name || \"\").trim();\n if (!checkId) return json({ error: \"check_id required\" }, 400);\n if (!partnerId) return json({ error: \"partner_id required\" }, 400);\n if (!partnerEmail) return json({ error: \"partner_email required\" }, 400);\n\n const deadlineDays = Math.max(1, Math.min(60, parseInt(body.deadline_days || \"5\", 10) || 5));\n const includeVorliegendes = !!body.include_vorliegendes_pdf;\n const checkSnapshot = body.check_snapshot || {};\n\n const token = newToken();\n const anfrageId = newAnfrageId();\n const now = new Date();\n const deadline = new Date(now.getTime() + deadlineDays * 86400 * 1000);\n const landingUrl = `${LANDING_BASE}?t=${token}`;\n\n const fields: any = {\n id: anfrageId,\n check_id: checkId,\n partner_id: partnerId,\n partner_name: partnerName,\n partner_email: partnerEmail,\n token,\n channel: \"landing\",\n status: \"gesendet\",\n sent_at: now.toISOString(),\n deadline_at: deadline.toISOString(),\n objekt_plz: checkSnapshot.objekt_plz || \"\",\n objekt_ort: checkSnapshot.objekt_ort || \"\",\n objekt_strasse: checkSnapshot.objekt_strasse || \"\",\n anzahl_aufzuege: String(checkSnapshot.anzahl_aufzuege || \"\"),\n anlagenart: checkSnapshot.anlagenart || \"\",\n leistungsumfang_text: checkSnapshot.leistungsumfang_text || \"\",\n include_vorliegendes_pdf: includeVorliegendes,\n };\n\n let recordId = \"\";\n try {\n const created = await atCreate(ANFRAGEN_TABLE, fields);\n recordId = created.id;\n } catch (e: any) {\n return json({ error: \"Could not create Anfrage: \" + e.message }, 500);\n }\n\n // Optional: vorliegendes PDF an die Anfrage hängen, damit der Partner es laden kann\n if (recordId && includeVorliegendes && body.vorliegendes_pdf_base64) {\n try {\n await atUploadPdfAttachment(recordId, \"vorliegendes_pdf_snapshot\", body.vorliegendes_pdf_base64, body.vorliegendes_pdf_filename || \"vorliegendes.pdf\");\n } catch (e: any) {\n console.warn(\"[partner-api] PDF attach failed:\", e.message);\n }\n }\n\n // Email an Partner\n try {\n await sendPartnerEmail(partnerEmail, partnerName, {\n checkSnapshot,\n token,\n landingUrl,\n deadlineAt: deadline.toISOString(),\n includeVorliegendes,\n });\n } catch (e: any) {\n console.warn(\"[partner-api] email failed:\", e.message);\n }\n\n // V12.17: Webhook an Partner-Software (falls webhook_url + api_key gesetzt)\n try {\n const partnerRec = await getPartnerByPartnerId(partnerId);\n const pf = partnerRec?.fields || {};\n const webhookUrl = (pf.webhook_url || \"\").trim();\n const partnerKey = (pf.api_key || \"\").trim();\n if (webhookUrl) {\n // Im Hintergrund, blockiert die Response nicht\n fireWebhook(partnerKey || null, webhookUrl, \"anfrage.created\", {\n anfrage_id: anfrageId,\n partner_id: partnerId,\n sent_at: now.toISOString(),\n deadline_at: deadline.toISOString(),\n objekt_plz: checkSnapshot.objekt_plz || \"\",\n objekt_ort: checkSnapshot.objekt_ort || \"\",\n objekt_strasse: checkSnapshot.objekt_strasse || \"\",\n anzahl_aufzuege: checkSnapshot.anzahl_aufzuege || \"\",\n anlagenart: checkSnapshot.anlagenart || \"\",\n leistungsumfang_text: checkSnapshot.leistungsumfang_text || \"\",\n landing_url: landingUrl,\n }).catch(() => {});\n }\n } catch (e: any) {\n console.warn(\"[partner-api] webhook trigger failed:\", e.message);\n }\n\n return json({ ok: true, anfrage_id: anfrageId, token, landing_url: landingUrl, deadline_at: deadline.toISOString() }, 200);\n}\n\nasync function handleGetAnfrage(token: string): Promise {\n const rec = await atFindByToken(token);\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const f = rec.fields || {};\n // Status auf \"geoeffnet\" setzen wenn noch \"gesendet\"\n if (f.status === \"gesendet\") {\n try {\n await atUpdate(ANFRAGEN_TABLE, rec.id, { status: \"geoeffnet\", opened_at: new Date().toISOString() });\n f.status = \"geoeffnet\";\n } catch (_) {}\n }\n // Anonymisierte Sicht für Partner: keine Liftaro-Check-ID, keine HV-Daten\n const view = {\n anfrage_id: f.id,\n partner_name: f.partner_name,\n status: f.status,\n sent_at: f.sent_at,\n deadline_at: f.deadline_at,\n objekt_plz: f.objekt_plz,\n objekt_ort: f.objekt_ort,\n objekt_strasse: f.objekt_strasse,\n anzahl_aufzuege: f.anzahl_aufzuege,\n anlagenart: f.anlagenart,\n leistungsumfang_text: f.leistungsumfang_text,\n include_vorliegendes_pdf: !!f.include_vorliegendes_pdf,\n vorliegendes_pdf_url: (Array.isArray(f.vorliegendes_pdf_snapshot) && f.vorliegendes_pdf_snapshot[0]?.url) || null,\n // Antwort-State (falls schon abgesendet, Partner kann sehen)\n response_offer_id: f.response_offer_id || null,\n response_preis_netto: f.response_preis_netto || null,\n response_laufzeit_jahre: f.response_laufzeit_jahre || null,\n response_kuendigungsfrist_monate: f.response_kuendigungsfrist_monate || null,\n response_wartungen_pro_jahr: f.response_wartungen_pro_jahr || null,\n response_kommentar: f.response_kommentar || null,\n responded_at: f.responded_at || null,\n };\n return json({ ok: true, anfrage: view }, 200);\n}\n\nasync function handleSubmitAnfrage(token: string, req: Request): Promise {\n const rec = await atFindByToken(token);\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const f = rec.fields || {};\n if (f.status === \"angeboten\") return json({ error: \"Bereits beantwortet\" }, 409);\n if (f.status === \"abgelehnt\") return json({ error: \"Bereits abgelehnt\" }, 409);\n if (f.status === \"timeout\") return json({ error: \"Anfrage ist abgelaufen\" }, 410);\n\n let body: any;\n try { body = await req.json(); } catch { return json({ error: \"Invalid JSON\" }, 400); }\n\n const upd: any = {\n status: \"angeboten\",\n responded_at: new Date().toISOString(),\n };\n if (body.response_offer_id != null) upd.response_offer_id = String(body.response_offer_id);\n if (body.response_preis_netto != null) upd.response_preis_netto = String(body.response_preis_netto);\n if (body.response_laufzeit_jahre != null) upd.response_laufzeit_jahre = String(body.response_laufzeit_jahre);\n if (body.response_kuendigungsfrist_monate != null) upd.response_kuendigungsfrist_monate = String(body.response_kuendigungsfrist_monate);\n if (body.response_wartungen_pro_jahr != null) upd.response_wartungen_pro_jahr = String(body.response_wartungen_pro_jahr);\n if (body.response_vollwartung != null) upd.response_vollwartung = !!body.response_vollwartung;\n if (body.response_notruf != null) upd.response_notruf = !!body.response_notruf;\n if (body.response_tuev_begl != null) upd.response_tuev_begl = !!body.response_tuev_begl;\n if (body.response_tuev_pruef != null) upd.response_tuev_pruef = !!body.response_tuev_pruef;\n if (body.response_entstoerung != null) upd.response_entstoerung = !!body.response_entstoerung;\n if (body.response_kommentar != null) upd.response_kommentar = String(body.response_kommentar).slice(0, 4000);\n\n try {\n await atUpdate(ANFRAGEN_TABLE, rec.id, upd);\n } catch (e: any) {\n return json({ error: \"Update failed: \" + e.message }, 500);\n }\n\n // PDF (base64) optional anhängen\n if (body.pdf_base64) {\n try {\n await atUploadPdfAttachment(rec.id, \"response_pdf\", body.pdf_base64, body.pdf_filename || \"angebot.pdf\");\n } catch (e: any) {\n console.warn(\"[partner-api] response_pdf upload failed:\", e.message);\n }\n }\n\n return json({ ok: true, status: \"angeboten\" }, 200);\n}\n\nasync function handleDeclineAnfrage(token: string, req: Request): Promise {\n const rec = await atFindByToken(token);\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const f = rec.fields || {};\n if (f.status === \"angeboten\" || f.status === \"abgelehnt\") {\n return json({ error: \"Status bereits final: \" + f.status }, 409);\n }\n let body: any = {};\n try { body = await req.json(); } catch {}\n const reason = String(body?.reason || \"\").slice(0, 1000);\n await atUpdate(ANFRAGEN_TABLE, rec.id, {\n status: \"abgelehnt\",\n responded_at: new Date().toISOString(),\n response_kommentar: reason || \"Abgelehnt ohne Angabe\",\n });\n return json({ ok: true, status: \"abgelehnt\" }, 200);\n}\n\n// ────────────────────────────────────────────────────────────────────────────\n// LV-Anfragen (Phase 3) — analog zu Partner-Anfragen aber für LV_Anfragen-Tabelle\n// ────────────────────────────────────────────────────────────────────────────\n\nasync function atFindLvByToken(token: string): Promise {\n const f = encodeURIComponent(`{token}='${token.replace(/'/g, \"\\\\'\")}'`);\n const data = await atRequest(`/${encodeURIComponent(LV_ANFRAGEN_TABLE)}?filterByFormula=${f}&maxRecords=1`);\n return (data.records && data.records[0]) || null;\n}\n\nasync function handleLvMarkOpened(token: string): Promise {\n const rec = await atFindLvByToken(token);\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const cur = String((rec.fields || {}).status || \"\");\n if (cur !== \"sent\") return json({ ok: true, action: \"noop\", status: cur }, 200);\n const now = new Date().toISOString();\n try {\n await atRequest(`/${encodeURIComponent(LV_ANFRAGEN_TABLE)}/${rec.id}`, {\n method: \"PATCH\",\n body: JSON.stringify({ fields: { status: \"opened\", opened_at: now, savedAt: now } }),\n });\n } catch (e: any) {\n return json({ error: \"Update failed: \" + e.message }, 500);\n }\n return json({ ok: true, action: \"opened\" }, 200);\n}\n\nasync function handleLvSubmit(token: string, req: Request): Promise {\n const rec = await atFindLvByToken(token);\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const f = rec.fields || {};\n if (f.status === \"submitted\") return json({ error: \"Bereits beantwortet\", submitted_at: f.submitted_at || \"\" }, 409);\n\n let body: any;\n try { body = await req.json(); } catch { return json({ error: \"Invalid JSON\" }, 400); }\n\n const responseJson = String(body.response_json || \"\").trim();\n if (!responseJson) return json({ error: \"response_json pflicht\" }, 400);\n\n const now = new Date().toISOString();\n const sigName = String(body.signatur_name || \"\").trim();\n const sigUrl = String(body.signatur_dataurl || \"\");\n const sigMeth = String(body.signatur_methode || \"drawn\").trim();\n const bestText = String(body.bestaetigung_text || \"\").trim();\n const sumEur = Number(body.summe_netto_eur || 0);\n const lzGesamt = String(body.lieferzeit_gesamt || \"\").trim();\n\n const upd: any = {\n status: \"submitted\",\n response_json: responseJson,\n submitted_at: now,\n savedAt: now,\n lieferzeit_gesamt: lzGesamt,\n signatur_methode: sigMeth,\n signatur_name: sigName,\n bestaetigung_text: bestText,\n };\n if (sigUrl) upd.signatur_dataurl = sigUrl;\n\n try {\n await atRequest(`/${encodeURIComponent(LV_ANFRAGEN_TABLE)}/${rec.id}`, {\n method: \"PATCH\",\n body: JSON.stringify({ fields: upd }),\n });\n } catch (e: any) {\n return json({ error: \"Update failed: \" + e.message }, 500);\n }\n\n // Chat-Eintrag in WartungsnehmerChat (damit Antwort als Bubble im Thread)\n let wn: any = {};\n try { wn = JSON.parse(String(f.servicebetrieb_snapshot_json || \"{}\")); } catch {}\n const positionen = (() => { try { return JSON.parse(responseJson) || []; } catch { return []; } })();\n const summary = positionen.map((p: any, i: number) =>\n \" \" + String(p.pos_nr || (i + 1)) + \". \" + String(p.titel || \"\").slice(0, 60) +\n \" — \" + (p.preis_eur > 0 ? (Number(p.preis_eur).toFixed(2) + \" €\") : \"kein Preis\") +\n (p.bemerkung ? \"\\n · \" + String(p.bemerkung).slice(0, 200) : \"\")\n ).join(\"\\n\");\n const sigLine = sigName\n ? \"\\n\\n\" + (sigMeth === \"digital\" ? \"✓ Digital bestätigt von: \" : \"✍ Unterschrieben von: \") + sigName\n : \"\";\n const chatBody = \"💰 Angebot vom Wartungsnehmer eingegangen\" +\n \"\\n\\nGesamtsumme: \" + (sumEur > 0 ? sumEur.toFixed(2) + \" € netto\" : \"—\") +\n (lzGesamt ? \"\\nLieferzeit: \" + lzGesamt : \"\") +\n \"\\n\\nPositionen:\\n\" + summary +\n sigLine;\n try {\n const chatId = \"wnc_\" + now.replace(/\\D/g, \"\").slice(0, 14) + \"_in\";\n await atRequest(`/${encodeURIComponent(WN_CHAT_TABLE)}`, {\n method: \"POST\",\n body: JSON.stringify({ fields: {\n id: chatId,\n email_id: String(f.email_id || \"\"),\n partner_typ: \"wartungsnehmer\",\n wartungsnehmer_id: String(f.servicebetrieb_id || \"\"),\n chat_partner_firma: String(wn.firma || \"\"),\n chat_partner_ansprechperson: String(wn.ansprechperson || \"\"),\n chat_partner_email: String(wn.email || \"\"),\n direction: \"in\",\n from_email: String(wn.email || \"\"),\n from_name: String(wn.firma || \"Wartungsnehmer\"),\n to_email: \"check@liftaro.de\",\n subject: \"Re: \" + String(f.email_betreff || \"LV-Anfrage\"),\n body: chatBody,\n created_at: now,\n nachricht_typ: \"lv_antwort\",\n lv_anfrage_id: String(f.id || \"\"),\n lv_anfrage_token: token,\n } }),\n });\n } catch (e: any) { console.warn(\"[partner-api] LV-Chat-Eintrag:\", e.message); }\n\n // Optionale PDF\n if (body.pdf_base64) {\n try { await atUploadPdfAttachment(rec.id, \"angebot_pdf\", body.pdf_base64, body.pdf_filename || \"angebot.pdf\"); }\n catch (e: any) { console.warn(\"[partner-api] LV-PDF upload:\", e.message); }\n }\n\n return json({ ok: true, status: \"submitted\", submitted_at: now }, 200);\n}\n\nasync function handleStatus(token: string): Promise {\n const rec = await atFindByToken(token);\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const f = rec.fields || {};\n return json({\n ok: true,\n status: f.status,\n deadline_at: f.deadline_at,\n responded_at: f.responded_at || null,\n sent_at: f.sent_at,\n opened_at: f.opened_at || null,\n }, 200);\n}\n\nasync function handleListByCheck(checkId: string, req: Request): Promise {\n if (!checkAppSecret(req)) return json({ error: \"Auth failed\" }, 401);\n const recs = await atListByCheckId(checkId);\n const list = recs.map(r => ({ _id: r.id, ...r.fields }));\n return json({ ok: true, anfragen: list }, 200);\n}\n\n// ════════════════════════════════════════════════════════════════════\n// V2.0: Auftrag erteilen (Liftaro → Partner)\n// ════════════════════════════════════════════════════════════════════\n// Wenn HV/WEG die Variante eines Partners gewählt hat, ruft Liftaro\n// diesen Endpoint mit den HV-Daten auf. Backend setzt auftrag_erteilt_at\n// + final_hv_* Felder und sendet Webhook \"anfrage.auftrag_erteilt\" an\n// den Partner — damit weiß der Partner: jetzt finalen Vertrag mit\n// echtem HV-Adressat erstellen + dem HV zur Unterschrift schicken.\nasync function handleErteileAuftrag(anfrageId: string, req: Request): Promise {\n if (!checkAppSecret(req)) return json({ error: \"Auth failed\" }, 401);\n // Lookup by anfrage-ID\n const filter = encodeURIComponent(`{id}='${anfrageId.replace(/'/g, \"\\\\'\")}'`);\n let rec: any;\n try {\n const data = await atRequest(`/${encodeURIComponent(ANFRAGEN_TABLE)}?filterByFormula=${filter}&maxRecords=1`);\n rec = (data.records && data.records[0]) || null;\n } catch (e: any) { return json({ error: \"Lookup failed: \" + e.message }, 500); }\n if (!rec) return json({ error: \"Anfrage nicht gefunden\" }, 404);\n const f = rec.fields || {};\n if (f.status !== \"angeboten\") return json({ error: \"Auftrag kann nur erteilt werden, wenn Anfrage angeboten wurde (aktuell: \" + f.status + \")\" }, 409);\n if (f.auftrag_erteilt_at) return json({ error: \"Auftrag wurde bereits erteilt am \" + f.auftrag_erteilt_at }, 409);\n\n let body: any;\n try { body = await req.json(); } catch { return json({ error: \"Invalid JSON\" }, 400); }\n const hvName = String(body.final_hv_name || \"\").trim();\n if (!hvName) return json({ error: \"final_hv_name required\" }, 400);\n\n const now = new Date().toISOString();\n const upd: any = {\n auftrag_erteilt_at: now,\n final_hv_name: hvName,\n final_hv_anschrift: String(body.final_hv_anschrift || \"\").trim(),\n final_hv_email: String(body.final_hv_email || \"\").trim(),\n final_hv_telefon: String(body.final_hv_telefon || \"\").trim(),\n final_hv_ansprechpartner: String(body.final_hv_ansprechpartner || \"\").trim(),\n selected_by_liftaro: true,\n selected_at: f.selected_at || now,\n };\n try {\n await atUpdate(ANFRAGEN_TABLE, rec.id, upd);\n } catch (e: any) { return json({ error: \"Update failed: \" + e.message }, 500); }\n\n // Webhook an Partner mit den HV-Daten — damit er den finalen Vertrag generieren kann\n try {\n const partnerRec = await getPartnerByPartnerId(String(f.partner_id || \"\"));\n const webhookUrl = (partnerRec?.fields?.webhook_url || \"\").trim();\n const partnerKey = (partnerRec?.fields?.api_key || \"\").trim();\n if (webhookUrl) {\n fireWebhook(partnerKey || null, webhookUrl, \"anfrage.auftrag_erteilt\", {\n anfrage_id: f.id || rec.id,\n partner_id: f.partner_id,\n auftrag_erteilt_at: now,\n final_hv_name: hvName,\n final_hv_anschrift: upd.final_hv_anschrift,\n final_hv_email: upd.final_hv_email,\n final_hv_telefon: upd.final_hv_telefon,\n final_hv_ansprechpartner: upd.final_hv_ansprechpartner,\n // Original-Eckdaten zur Erinnerung\n objekt_strasse: f.objekt_strasse, objekt_plz: f.objekt_plz, objekt_ort: f.objekt_ort,\n anzahl_aufzuege: f.anzahl_aufzuege, anlagenart: f.anlagenart,\n response_preis_netto: f.response_preis_netto,\n response_laufzeit_jahre: f.response_laufzeit_jahre,\n response_kuendigungsfrist_monate: f.response_kuendigungsfrist_monate,\n next_step: \"Bitte erstellen Sie den finalen Wartungsvertrag mit '\" + hvName + \"' als Adressat und schicken Sie ihn ZURÜCK AN LIFTARO — entweder per API (POST /api/v2/checks/\" + (f.id || rec.id) + \"/final-vertrag mit pdf_base64) oder per Email an check@liftaro.de. Liftaro leitet ihn an die HV weiter und kümmert sich um die Unterschrift. Bitte NICHT direkt mit der HV kommunizieren.\",\n }).catch(() => {});\n }\n } catch (e: any) {\n console.warn(\"[partner-api] webhook auftrag_erteilt failed:\", e.message);\n }\n\n return json({ ok: true, anfrage_id: f.id, auftrag_erteilt_at: now, webhook_sent: !!(await getPartnerByPartnerId(String(f.partner_id || \"\")))?.fields?.webhook_url }, 200);\n}\n\n// POST /api/v2/checks/:anfrage_id/final-vertrag — Partner schickt finalen Vertrag zurück an Liftaro\n// (Mit HV als Adressat, partner-seitig bereits unterschrieben.) Liftaro leitet ihn dann an HV weiter.\nasync function handleV2UploadFinalVertrag(partner: Partner, anfrageId: string, req: Request): Promise {\n const rec = await _v2FindAnfrage(partner, anfrageId);\n if ((rec as any).error) return (rec as any).error;\n const f = rec.fields || {};\n if (!f.auftrag_erteilt_at) return json({ error: \"Auftrag muss erst erteilt sein, bevor der finale Vertrag hochgeladen werden kann\" }, 409);\n let body: any;\n try { body = await req.json(); } catch { return json({ error: \"Invalid JSON\" }, 400); }\n if (!body.pdf_base64) return json({ error: \"pdf_base64 required\" }, 400);\n const now = new Date().toISOString();\n try {\n await atUploadPdfAttachment(rec.id, \"final_vertrag_pdf\", body.pdf_base64, body.pdf_filename || \"wartungsvertrag-final.pdf\");\n await atUpdate(ANFRAGEN_TABLE, rec.id, { final_vertrag_received_at: now });\n } catch (e: any) {\n return json({ error: \"Upload failed: \" + e.message }, 500);\n }\n return json({ ok: true, final_vertrag_received_at: now, note: \"Finaler Vertrag bei Liftaro eingegangen. Liftaro leitet ihn an die HV zur Unterschrift weiter.\" }, 200);\n}\n\n// ════════════════════════════════════════════════════════════════════\n// Kanal 2: Partner-Software-Integration via X-Partner-Key\n// ════════════════════════════════════════════════════════════════════\n// Statt One-Time-Token (Landing-Page) authentifiziert sich der Partner mit\n// einem dauerhaften API-Key, der im Partner-Pool-Record gespeichert ist.\n// Der Partner sieht ALLE Anfragen, die ihm zugeordnet sind, kann sie\n// abrufen, beantworten oder ablehnen — alles strukturiert per JSON.\n\ntype Partner = {\n recId: string;\n partner_id: string;\n name: string;\n email_kontakt?: string;\n active?: boolean;\n};\n\nasync function validatePartnerKey(req: Request): Promise {\n const key = (req.headers.get(\"X-Partner-Key\") || \"\").trim();\n if (!key || key.length < 12) return null;\n const filter = encodeURIComponent(`{api_key}='${key.replace(/'/g, \"\\\\'\")}'`);\n try {\n const data = await atRequest(`/${encodeURIComponent(PARTNER_POOL_TABLE)}?filterByFormula=${filter}&maxRecords=1`);\n const r = (data.records && data.records[0]) || null;\n if (!r) return null;\n const f = r.fields || {};\n if (f.active === false) return null;\n if (!f.partner_id) return null;\n return {\n recId: r.id,\n partner_id: String(f.partner_id),\n name: String(f.name || f.partner_id),\n email_kontakt: f.email_kontakt,\n active: f.active !== false,\n };\n } catch (e: any) {\n console.warn(\"[partner-api/v2] partner lookup failed:\", e.message);\n return null;\n }\n}\n\n// Mappt einen Partner-Anfragen-Record auf die Partner-Sicht (sicher, keine internen Felder).\nfunction _partnerView(rec: any) {\n const f = rec.fields || {};\n return {\n anfrage_id: f.id,\n status: f.status,\n sent_at: f.sent_at,\n opened_at: f.opened_at || null,\n responded_at: f.responded_at || null,\n deadline_at: f.deadline_at,\n objekt_plz: f.objekt_plz,\n objekt_ort: f.objekt_ort,\n objekt_strasse: f.objekt_strasse,\n anzahl_aufzuege: f.anzahl_aufzuege,\n anlagenart: f.anlagenart,\n leistungsumfang_text: f.leistungsumfang_text,\n include_vorliegendes_pdf: !!f.include_vorliegendes_pdf,\n vorliegendes_pdf_url: (Array.isArray(f.vorliegendes_pdf_snapshot) && f.vorliegendes_pdf_snapshot[0]?.url) || null,\n // bereits abgegebene Antwort\n response_offer_id: f.response_offer_id || null,\n response_preis_netto: f.response_preis_netto || null,\n response_laufzeit_jahre: f.response_laufzeit_jahre || null,\n response_kuendigungsfrist_monate: f.response_kuendigungsfrist_monate || null,\n response_wartungen_pro_jahr: f.response_wartungen_pro_jahr || null,\n response_vollwartung: !!f.response_vollwartung,\n response_notruf: !!f.response_notruf,\n response_tuev_begl: !!f.response_tuev_begl,\n response_tuev_pruef: !!f.response_tuev_pruef,\n response_entstoerung: !!f.response_entstoerung,\n response_kommentar: f.response_kommentar || null,\n };\n}\n\n// GET /api/v2/me — Self-Identify\nasync function handleV2Me(partner: Partner): Promise {\n // Webhook-URL auch zurückgeben für Diagnose\n const rec = await getPartnerByPartnerId(partner.partner_id);\n const webhookUrl = (rec?.fields?.webhook_url || \"\").trim();\n return json({\n ok: true,\n partner_id: partner.partner_id,\n name: partner.name,\n email_kontakt: partner.email_kontakt || null,\n active: partner.active,\n api_version: \"v2\",\n webhook_url: webhookUrl || null,\n webhook_configured: !!webhookUrl,\n }, 200);\n}\n\n// POST /api/v2/webhook-test — Sendet einen Test-Webhook an die hinterlegte URL\nasync function handleV2WebhookTest(partner: Partner): Promise {\n const rec = await getPartnerByPartnerId(partner.partner_id);\n const webhookUrl = (rec?.fields?.webhook_url || \"\").trim();\n const partnerKey = (rec?.fields?.api_key || \"\").trim();\n if (!webhookUrl) return json({ error: \"Keine webhook_url im Partner-Pool gesetzt\" }, 400);\n await fireWebhook(partnerKey || null, webhookUrl, \"webhook.test\", {\n partner_id: partner.partner_id,\n message: \"Dies ist ein Test-Webhook von Liftaro. Wenn ihr ihn empfangen habt, ist die Anbindung ok.\",\n });\n return json({ ok: true, sent_to: webhookUrl, event: \"webhook.test\", note: \"Webhook wurde gesendet — prüft euren Endpoint-Log. Im Fehlerfall steht er im val.town-Log.\" }, 200);\n}\n\n// GET /api/v2/checks?status=offen|alle|angeboten|abgelehnt\nasync function handleV2ListChecks(partner: Partner, url: URL): Promise {\n const statusFilter = (url.searchParams.get(\"status\") || \"offen\").toLowerCase();\n // Basis-Filter: nur Anfragen für diesen Partner\n let formula = `{partner_id}='${partner.partner_id.replace(/'/g, \"\\\\'\")}'`;\n if (statusFilter === \"offen\") {\n formula = `AND(${formula}, OR({status}='gesendet', {status}='geoeffnet'))`;\n } else if (statusFilter !== \"alle\") {\n formula = `AND(${formula}, {status}='${statusFilter.replace(/'/g, \"\\\\'\")}')`;\n }\n const enc = encodeURIComponent(formula);\n try {\n const data = await atRequest(`/${encodeURIComponent(ANFRAGEN_TABLE)}?filterByFormula=${enc}&pageSize=100&sort%5B0%5D%5Bfield%5D=sent_at&sort%5B0%5D%5Bdirection%5D=desc`);\n const list = (data.records || []).map(_partnerView);\n return json({ ok: true, count: list.length, anfragen: list }, 200);\n } catch (e: any) {\n return json({ error: \"List failed: \" + e.message }, 500);\n }\n}\n\n// Holt einen Anfrage-Record und prüft, dass er DIESEM Partner gehört.\nasync function _v2FindAnfrage(partner: Partner, anfrageId: string): Promise {\n const filter = encodeURIComponent(`{id}='${anfrageId.replace(/'/g, \"\\\\'\")}'`);\n try {\n const data = await atRequest(`/${encodeURIComponent(ANFRAGEN_TABLE)}?filterByFormula=${filter}&maxRecords=1`);\n const r = (data.records && data.records[0]) || null;\n if (!r) return { error: json({ error: \"Anfrage nicht gefunden\" }, 404) };\n if ((r.fields?.partner_id || \"\") !== partner.partner_id) {\n return { error: json({ error: \"Diese Anfrage gehört nicht zu Ihrem Partner-Account\" }, 403) };\n }\n return r;\n } catch (e: any) {\n return { error: json({ error: \"Lookup failed: \" + e.message }, 500) };\n }\n}\n\n// GET /api/v2/checks/:anfrage_id\nasync function handleV2GetAnfrage(partner: Partner, anfrageId: string): Promise {\n const rec = await _v2FindAnfrage(partner, anfrageId);\n if ((rec as any).error) return (rec as any).error;\n // Bei erstem Zugriff opened_at + status auf \"geoeffnet\" setzen, falls noch \"gesendet\"\n if (rec.fields?.status === \"gesendet\") {\n try { await atUpdate(ANFRAGEN_TABLE, rec.id, { status: \"geoeffnet\", opened_at: new Date().toISOString() }); rec.fields.status = \"geoeffnet\"; } catch (_) {}\n }\n return json({ ok: true, anfrage: _partnerView(rec) }, 200);\n}\n\n// POST /api/v2/checks/:anfrage_id/offer — analog Kanal-1-submit, aber via API-Key\nasync function handleV2SubmitOffer(partner: Partner, anfrageId: string, req: Request): Promise {\n const rec = await _v2FindAnfrage(partner, anfrageId);\n if ((rec as any).error) return (rec as any).error;\n const f = rec.fields || {};\n if (f.status === \"angeboten\") return json({ error: \"Bereits beantwortet\" }, 409);\n if (f.status === \"abgelehnt\") return json({ error: \"Bereits abgelehnt\" }, 409);\n if (f.status === \"timeout\") return json({ error: \"Anfrage ist abgelaufen\" }, 410);\n\n let body: any;\n try { body = await req.json(); } catch { return json({ error: \"Invalid JSON\" }, 400); }\n\n const upd: any = {\n status: \"angeboten\",\n responded_at: new Date().toISOString(),\n channel: \"api\",\n };\n if (body.response_offer_id != null) upd.response_offer_id = String(body.response_offer_id);\n if (body.response_preis_netto != null) upd.response_preis_netto = String(body.response_preis_netto);\n if (body.response_laufzeit_jahre != null) upd.response_laufzeit_jahre = String(body.response_laufzeit_jahre);\n if (body.response_kuendigungsfrist_monate != null) upd.response_kuendigungsfrist_monate = String(body.response_kuendigungsfrist_monate);\n if (body.response_wartungen_pro_jahr != null) upd.response_wartungen_pro_jahr = String(body.response_wartungen_pro_jahr);\n if (body.response_vollwartung != null) upd.response_vollwartung = !!body.response_vollwartung;\n if (body.response_notruf != null) upd.response_notruf = !!body.response_notruf;\n if (body.response_tuev_begl != null) upd.response_tuev_begl = !!body.response_tuev_begl;\n if (body.response_tuev_pruef != null) upd.response_tuev_pruef = !!body.response_tuev_pruef;\n if (body.response_entstoerung != null) upd.response_entstoerung = !!body.response_entstoerung;\n if (body.response_kommentar != null) upd.response_kommentar = String(body.response_kommentar).slice(0, 4000);\n\n try {\n await atUpdate(ANFRAGEN_TABLE, rec.id, upd);\n } catch (e: any) {\n return json({ error: \"Update failed: \" + e.message }, 500);\n }\n // PDF optional\n if (body.pdf_base64) {\n try {\n await atUploadPdfAttachment(rec.id, \"response_pdf\", body.pdf_base64, body.pdf_filename || \"angebot.pdf\");\n } catch (e: any) {\n console.warn(\"[partner-api/v2] PDF upload failed:\", e.message);\n }\n }\n return json({ ok: true, status: \"angeboten\", channel: \"api\" }, 200);\n}\n\n// POST /api/v2/checks/:anfrage_id/decline\nasync function handleV2DeclineOffer(partner: Partner, anfrageId: string, req: Request): Promise {\n const rec = await _v2FindAnfrage(partner, anfrageId);\n if ((rec as any).error) return (rec as any).error;\n const f = rec.fields || {};\n if (f.status === \"angeboten\" || f.status === \"abgelehnt\") {\n return json({ error: \"Status bereits final: \" + f.status }, 409);\n }\n let body: any = {};\n try { body = await req.json(); } catch {}\n const reason = String(body?.reason || \"\").slice(0, 1000);\n try {\n await atUpdate(ANFRAGEN_TABLE, rec.id, {\n status: \"abgelehnt\",\n responded_at: new Date().toISOString(),\n channel: \"api\",\n response_kommentar: reason || \"Abgelehnt via API\",\n });\n } catch (e: any) {\n return json({ error: \"Update failed: \" + e.message }, 500);\n }\n return json({ ok: true, status: \"abgelehnt\", channel: \"api\" }, 200);\n}\n\n// ── Router ─────────────────────────────────────────────────────────────\nexport default async function (req: Request): Promise {\n if (req.method === \"OPTIONS\") {\n return new Response(null, { status: 204, headers: cors() });\n }\n const url = new URL(req.url);\n const path = url.pathname.replace(/\\/+$/, \"\"); // trailing slash weg\n const method = req.method;\n\n try {\n // POST /api/partner-anfragen\n if (method === \"POST\" && path === \"/api/partner-anfragen\") {\n return await handleCreateAnfrage(req);\n }\n // Pattern: /api/partner-anfragen/:token[/...]\n const tokenMatch = path.match(/^\\/api\\/partner-anfragen\\/([A-Za-z0-9_-]{16,64})(\\/[a-z]+)?$/);\n if (tokenMatch) {\n const token = tokenMatch[1];\n const sub = tokenMatch[2] || \"\";\n if (method === \"GET\" && sub === \"\") return await handleGetAnfrage(token);\n if (method === \"GET\" && sub === \"/status\") return await handleStatus(token);\n if (method === \"POST\" && sub === \"/submit\") return await handleSubmitAnfrage(token, req);\n if (method === \"POST\" && sub === \"/decline\") return await handleDeclineAnfrage(token, req);\n }\n // Pattern: /api/lv-anfragen/:token[/...] — LV-Anfragen (Phase 3)\n const lvTokenMatch = path.match(/^\\/api\\/lv-anfragen\\/([A-Za-z0-9_-]{16,64})(\\/[a-z_-]+)?$/);\n if (lvTokenMatch) {\n const token = lvTokenMatch[1];\n const sub = lvTokenMatch[2] || \"\";\n if (method === \"POST\" && sub === \"/mark-opened\") return await handleLvMarkOpened(token);\n if (method === \"POST\" && sub === \"/submit\") return await handleLvSubmit(token, req);\n }\n // GET /api/checks/:check_id/anfragen\n const listMatch = path.match(/^\\/api\\/checks\\/([A-Za-z0-9_-]+)\\/anfragen$/);\n if (method === \"GET\" && listMatch) {\n return await handleListByCheck(listMatch[1], req);\n }\n // POST /api/partner-anfragen/:anfrage_id/auftrag — Liftaro erteilt Auftrag mit HV-Daten\n const auftragMatch = path.match(/^\\/api\\/partner-anfragen\\/(PA-[A-Za-z0-9_-]+)\\/auftrag$/);\n if (method === \"POST\" && auftragMatch) {\n return await handleErteileAuftrag(auftragMatch[1], req);\n }\n // ── Kanal 2: /api/v2/* — Partner-Software-Integration via X-Partner-Key ──\n if (path.startsWith(\"/api/v2/\")) {\n const partner = await validatePartnerKey(req);\n if (!partner) return json({ error: \"X-Partner-Key fehlt oder ungültig\" }, 401);\n if (method === \"GET\" && path === \"/api/v2/me\") return await handleV2Me(partner);\n if (method === \"POST\" && path === \"/api/v2/webhook-test\") return await handleV2WebhookTest(partner);\n if (method === \"GET\" && path === \"/api/v2/checks\") return await handleV2ListChecks(partner, url);\n const v2Match = path.match(/^\\/api\\/v2\\/checks\\/([A-Za-z0-9_-]+)(\\/[a-z]+)?$/);\n if (v2Match) {\n const aId = v2Match[1];\n const sub = v2Match[2] || \"\";\n if (method === \"GET\" && sub === \"\") return await handleV2GetAnfrage(partner, aId);\n if (method === \"POST\" && sub === \"/offer\") return await handleV2SubmitOffer(partner, aId, req);\n if (method === \"POST\" && sub === \"/decline\") return await handleV2DeclineOffer(partner, aId, req);\n if (method === \"POST\" && sub === \"/final-vertrag\") return await handleV2UploadFinalVertrag(partner, aId, req);\n }\n return json({ error: \"v2 route not found\", path }, 404);\n }\n // GET / oder /api/health — Self-Check\n if (method === \"GET\" && (path === \"\" || path === \"/\" || path === \"/api/health\")) {\n return json({\n ok: true,\n service: \"liftaroPartnerApi\",\n version: PARTNER_API_VERSION,\n base_configured: !!AT_BASE_APP,\n smtp_configured: !!SMTP_VAL_URL,\n channels: [\"landing\", \"api\"],\n }, 200);\n }\n return json({ error: \"Not found\", path }, 404);\n } catch (e: any) {\n console.error(\"[partner-api] handler error:\", e);\n return json({ error: \"Server error: \" + (e?.message || String(e)) }, 500);\n }\n}\n","deleted","label",[114],"pulls",1,"forks","envVars",{"_137":139,"_140":51},"connections",{"_137":51,"_138":51},"count","unfilledCount",10,"emptyCount",{"_20":113,"_13":114,"_115":116,"_117":-5,"_118":21,"_119":30,"_120":107,"_22":142,"_29":122,"_123":124,"_125":126,"_127":38,"_128":-5,"_143":144,"_88":145},["D",1781655293929],"children",[],[114],["D",1779657588846],{"_11":12,"_86":82},{"_11":12,"_79":80,"_81":82,"_44":45,"_83":84,"_85":38},{"_29":30,"_13":26,"_20":21,"_27":28,"_31":-5,"_32":-5,"_74":-5,"_75":-5,"_76":-5,"_77":14,"_78":12},"ctx",{"_67":-5,"_109":183,"_184":185,"_186":187,"_188":38,"_189":38,"_190":38,"_191":107,"_192":-5,"_193":-7,"_194":-7,"_195":51,"_196":38,"_197":38,"_198":-5,"_199":38,"_200":38,"_201":38,"_202":-5},"ENV",{"_154":155,"_156":157,"_158":26,"_159":160,"_161":162,"_163":164,"_165":166,"_167":168,"_169":170,"_171":172,"_173":174,"_175":176,"_177":178,"_179":180,"_181":182},"REACT_APP_SENTRY_DSN","https://586020d86f05489db63a554690acf1e9@o1398359.ingest.sentry.io/6724499","RENDER_GIT_COMMIT","e87eb04e707cf64e7e532c8e8ec395f209e17f15","RENDER_GIT_BRANCH","POSTHOG_API_TOKEN","phc_nmoyuAkStEZuUp69rYlg1DZgrIt19Gx0Y4Hwf8tGgJP","POSTHOG_API_HOST","https://wart.val.town","WEB_API_TEMPLATE","https://{val}.web.val.run","APP_URL","https://www.val.town","MODULE_URL","https://esm.town","VANITY_WEB_API_TEMPLATE","https://{label}.val.run/","DENOLS_URL","https://lsp.val.town","NODE_ENV","production","CLOUDFLARE_TURNSTILE_SITE_KEY","0x4AAAAAACtaIZJH7s9rBMZ6","GOOGLE_CLIENT_ID","875989696899-jtsqkhlbdv5jrlsk8631p7ipjg3c6o62.apps.googleusercontent.com","STRIPE_PUBLISHABLE_KEY","pk_live_51N2zvWEpZTTLipIkVEwXrUG9AT0yeOOEYxszarZT1jpsZV58Ly6wlg3SltZpHN26CUalOBmUSY7adQRQiSkCZz2500qSXNkf8Y","API_URL","https://api.val.town",[],"preferencesKeybindings","default","preferencesTheme","light","preferencesFixers","preferencesCopilot","preferencesSelectionAi","preferencesCloseBrackets","preferencesChatPanelState","preferencesDprint","preferencesDenofmt","notificationCount","flagDenols","isBusinessOrgMember","businessOrgHandle","isBusinessOrgAdmin","isHigherTownieTier","navCollapsed","currentOrgId"]

Branches1

Branches
1