Restefeger: Auth komplett raus, Serien-Flow + Episoden-Matching, Jellyfin-Refresh, Duplikat-Warnung, echtes Nur-Hauptfilm

AUTH ENTFERNT (Commander-Entscheid 24.07., KONZEPT §10): /token- und
/api-keys-Endpoints, auth.py, test_auth.py, passlib/bcrypt/PyJWT/
python-multipart, JWT_SECRET_KEY-Pflicht. Heimnetz-only, das UI hatte nie
einen Login — die Auth-Oberflaeche war Placebo und die passlib/bcrypt-
Falle brach die Ampel. Rate-Limit pro IP bleibt. Schnellstart laeuft
jetzt ganz ohne .env-Pflichtwerte.

Serien-Flow (Etappe-12-Kern, ARM-Wunde #395):
- Rip-Dialog: Serienname + Staffel -> Ablage <Serie>/Season NN
  (jellyfin.org/docs Naming-Schema); tvshow.nfo + poster.jpg im
  Serien-Ordner, bei Staffel 2 nicht ueberschrieben.
- Episoden-Matching per Laufzeitabgleich: HandBrakeCLI --scan
  ('+ duration:', handbrake.fr/docs) je MKV gegen TMDB-Staffel-Laufzeiten
  (GET /metadata/tv/{id}/season/{n}; tv-season-details-API).
  Ordnungserhaltend; komplette Staffel auf einer Disc klappt auch bei
  uniformen Anime-Laufzeiten (Sequenz-Stufe). Umbenannt wird NUR bei
  eindeutiger Zuordnung — sonst ehrliches Log. Mit Tests.

Weitere Punkte:
- Jellyfin/Emby-Bibliotheks-Refresh nach jedem fertigen Rip
  (POST /Library/Refresh, X-Emby-Token lt. jellyfin.org/docs) —
  URL/Key + Test-Knopf in Einstellungen -> Ripping.
- Duplikat-Warnung: Disc-Fingerabdruck (jetzt Teil des Prescan-Ergebnisses
  + der Job-Metadaten) gegen die Historie; Karte zeigt 'bereits gerippt',
  Vollautomatik ueberspringt Duplikate.
- 'Nur Hauptfilm' ECHT: makemkvcon info -> TINFO-Attr-9-Laufzeiten
  (usage.txt) -> laengster Titel -> mkv dev:X <nr>. Vorher wirkungsloses
  Setting; pro Rip im Dialog uebersteuerbar. Mit Tests.
- OMDb-Treffer eingedeutscht via TMDB /find (external_source=imdb_id,
  de-DE; find-by-id-API).
- Dashboard: Speicherplatz-Anzeige (amber < 60 GB) + CSV-Export
  (GET /jobs/export, Semikolon+BOM fuer deutsches Excel).
- Metadaten-Seite entfernt (Abnahme durch Commander-Auftrag) inkl.
  Placebo-Endpoints /metadata/lookup (scannte Dummy-Device) und
  /metadata/confirm (schrieb nie gelesenen Cache-Key).
- Doppel-Jahr-Fix: 'X (2009) (2009)' in Log und Ordnernamen.
- Remote-Worker-Blocker: redis (6379) + postgres (5432) waren NIE
  veroeffentlicht — kein Remote-Worker konnte sich je verbinden. Ports
  jetzt offen (Heimnetz-Kompromiss, kommentiert) + API_URL fuer Worker.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ROADMAP.md

@@ -361,28 +361,57 @@ auffiel, in einem Rutsch. Alles gebaut, Tests dabei, Ampel-Blocker behoben.
 
 ---
 
-## Ideen-Katalog (24.07.2026, priorisiert) — Lücken, die noch offen sind
+## Etappe 15 (24.07.2026): Restefeger — der Ideen-Katalog wird abgearbeitet
 
-1. **Serien-Staffel-Flow**: Beim Rippen einer Serien-Disc Staffel/Disc-Nr
-   abfragen → Ablage `Show/Season 02/`, Episoden-Matching wie Etappe 12.
-2. **Duplikat-Warnung**: Disc-Fingerprint schon in der Job-Historie →
-   „schon am X gerippt — trotzdem?" (Fingerprint-Infrastruktur existiert).
-3. **Jellyfin-Bibliotheks-Refresh** nach Ablage (API-Key + URL in den
-   Einstellungen, POST /Library/Refresh) — der letzte Schritt zur
-   Null-Klick-Kette Disc→Bildschirm.
-4. **Track-Auswahl vor dem Rip** (awaiting_selection, Etappe 12) — spart
-   bei Bonus-Material-Discs Stunden.
-5. **Auth vor schreibende Endpoints** + Login-Flow im UI (JWT existiert).
-6. **Speicherplatz-Kachel im Dashboard** (Media/Arbeitsverzeichnis als
-   Balken — /system/info liefert die Daten schon).
-7. **Rip-Historie exportieren** (CSV/JSON) für die Sammlung-Übersicht.
-8. **Design 2.0**: Design-Tokens statt Theme-Ternaries in jeder Zeile —
-   die `theme === 'dark' ? … : …`-Kaskaden sind der größte UI-Schuldenberg.
-9. **Nativer Windows-Worker (ohne Docker)**: Endnutzer installieren kein
-   Docker Desktop nur für den Transcode-Worker. Realistischer Weg: ein
-   PyInstaller-Paket (Celery solo-Pool + HandBrakeCLI.exe gebündelt) als
-   Windows-Dienst, Anbindung wie gehabt über Redis. Aufwand: mittel;
-   Celery unter Windows nur im solo/threads-Pool verlässlich.
-10. **Deutsche Texte auch für OMDb-Treffer**: OMDb liefert nur Englisch.
-    Wenn OMDb/Jikan die Quelle war, per TMDB-Find (imdb_id → TMDB-Eintrag,
-    language=de-DE) die deutsche Beschreibung nachladen.
+**Commander-Auftrag:** „Arbeite alles ab, abgesehen von Auth — das ist
+irrelevant und kann komplett raus."
+
+- [x] **AUTH KOMPLETT ENTFERNT** (Commander-Entscheid): /token- und
+      /api-keys-Endpoints, auth.py, test_auth.py, passlib/bcrypt/PyJWT,
+      JWT_SECRET_KEY-Pflicht — alles raus (KONZEPT §10). Der Schnellstart
+      braucht keine .env-Pflichtwerte mehr. Rate-Limit pro IP bleibt.
+- [x] **Serien-Staffel-Flow**: Im Rip-Dialog Serienname + Staffel →
+      Ablage `<Serie>/Season NN`; tvshow.nfo + poster.jpg landen im
+      Serien-Ordner (werden bei Staffel 2 nicht überschrieben).
+- [x] **Episoden-Erkennung per Laufzeitabgleich** (ARM-Wunde #395):
+      Datei-Laufzeiten (HandBrake-Scan) gegen TMDB-Episoden-Laufzeiten,
+      ordnungserhaltend; komplette Staffel auf einer Disc geht auch bei
+      uniformen Laufzeiten. Umbenannt wird NUR bei eindeutiger Zuordnung
+      („Serie S01E02.mkv"), sonst bleiben die Namen + ehrliches Log.
+- [x] **Jellyfin/Emby-Bibliotheks-Refresh** nach jedem fertigen Rip
+      (POST /Library/Refresh, X-Emby-Token) — URL/Key + Test-Knopf in den
+      Einstellungen. Die Null-Klick-Kette Disc→Bildschirm steht.
+- [x] **Duplikat-Warnung**: Disc-Fingerabdruck gegen die Job-Historie —
+      Hinweis auf der Disc-Karte, Vollautomatik überspringt Duplikate.
+- [x] **„Nur Hauptfilm" ECHT**: das Setting war wirkungslos — jetzt
+      Info-Lauf → längster Titel → nur der wird gerippt; pro Rip im
+      Dialog übersteuerbar. (Volle Track-Tabelle bleibt Ausbaustufe.)
+- [x] **Deutsche Texte für OMDb-Treffer** via TMDB /find (IMDb-ID → de-DE).
+- [x] **Speicherplatz in der Dashboard-Leiste** (amber unter 60 GB frei).
+- [x] **CSV-Export** der Job-Historie (Semikolon+BOM, Excel-tauglich).
+- [x] **Metadaten-Seite entfernt** (+ Placebo-Endpoints /metadata/lookup
+      und /metadata/confirm — lookup scannte ein Dummy-Device).
+- [x] **Doppel-Jahr-Fix** („X (2009) (2009)" in Log/Ordnernamen).
+- [x] **Remote-Worker-Blocker**: redis/postgres waren nie veröffentlicht —
+      kein Remote-Worker konnte sich je verbinden. Ports 6379/5432 jetzt
+      offen (Heimnetz-Kompromiss, dokumentiert) + API_URL für Worker.
+
+---
+
+## Ideen-Katalog (Rest) — bewusst offen
+
+1. **Volle Track-Auswahl-Tabelle vor dem Rip** (awaiting_selection):
+   Scan-Task → Titel-Tabelle im UI → Auswahl → Rip. Der 80%-Fall ist mit
+   „Nur Hauptfilm" abgedeckt; die Tabelle lohnt für Bonus-Material-Discs.
+2. **Nativer Windows-Worker (ohne Docker)**: PyInstaller-Paket (Celery
+   solo-Pool + HandBrakeCLI.exe gebündelt) als Windows-Dienst; verbindet
+   sich über die jetzt offenen Ports (6379/5432/8000). Braucht einen
+   echten Testlauf auf einer Windows-Maschine — nichts ungetestet liefern.
+3. **Design 2.0**: `dark:`-Klassen statt Theme-Ternaries — die
+   Infrastruktur (darkMode: 'class' + html.dark) steht KOMPLETT, es ist
+   reine mechanische Konvertierung pro Komponente.
+4. **AI-Box als VAAPI-Transcode-Worker**: Ports sind offen, Compose steht
+   (deploy/remote-transcode-worker.yml) — es fehlt nur der NFS/SMB-Export
+   der Rippy-Ablage an die AI-Box (Infra-Entscheid auf der VM).
+5. **Kodi-Bibliotheks-Refresh** (JSON-RPC VideoLibrary.Scan) analog zu
+   Jellyfin/Emby.