Design-System: Token-Ebene für Spacing, Fokus und Tap-Targets

Vorbereitung für die Konsolidierung. tokens.css war für Farben und Typo schon
die Single Source of Truth, für Abstände aber nur mit --space-section und
--container-pad besetzt — dem standen ~450 Spacing-Deklarationen mit 39
verschiedenen rem-Werten gegenüber.

Neu: 14-stufige Spacing-Skala auf 4px-Raster, aus dem Ist-Bestand geclustert
statt frei erfunden. Die neun häufigsten Werte der Codebase (1, 1.5, 1.25, 2.5,
0.75, 0.5, 1.75, 2, 3rem — zusammen ~60% aller Deklarationen) liegen bereits
exakt auf Stufen, die Migration ist dort verlustfrei. Nach oben wird das Raster
gröber (3 → 4 → 5 → 7rem), weil große Abstände das vertragen. --space-4xs (2px)
ist ausdrücklich nur für optische Korrekturen an Icon-/Baseline-Nudges.

Dazu --tap-min (44px, WCAG 2.5.5) und --focus-ring/--focus-offset. Der Fokus
wird auf Weiß festgeschrieben: 15,9:1 auf --clr-bg gegenüber 3,2:1 für Rot,
das WCAG 1.4.11 nur knapp schafft und als einziger Indikator zu schwach ist.

--container-pad und --space-section verweisen jetzt auf die Skala statt eigene
Werte zu führen. Entfernt: --clr-bg-light und --clr-surface-raised, beide
projektweit 0× verwendet.

Consumer folgen in den nächsten Commits — dieser Schritt ändert die Darstellung
noch nicht.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01MSsVdooFLgPA8gPFp7HwZU

app/actions/contact-submit.php

@@ -3,13 +3,13 @@
 declare(strict_types=1);
 
 /**
- * POST /kontakt-senden — Kontaktformular validieren und via Brevo SMTP versenden.
- * Antwort: PRG-Redirect zurück zur absendenden Seite (#kontakt, ?sent=1 | ?error=…)
- *          oder JSON bei fetch (form.js). Das Formular kommt von / wie auch von /kontakt.
+ * POST /kontakt-senden — Kontaktformular validieren und über All-Inkl-SMTP versenden.
+ * Antwort: PRG-Redirect zurück zur absendenden Seite (#kontakt, ?sent=1 | ?error=…),
+ *          JSON bei fetch (form.js) oder — bei Feldfehlern ohne JS — die Seite direkt
+ *          mit HTTP 422, erhaltenen Eingaben und Feldfehlern (render_form_invalid()).
+ * Das Formular kommt von / wie auch von /kontakt.
  */
 
-use PHPMailer\PHPMailer\PHPMailer;
-
 $field = static fn (string $key): string => trim((string) ($_POST[$key] ?? ''));
 
 // Rücksprungziel gegen die Slug-Whitelist (Single Source of Truth) prüfen — kein Open-Redirect.
@@ -34,6 +34,13 @@ $respond = static function (bool $ok, string $error = '') use ($wantsJson, $retu
 $route = 'kontakt';
 $token = $field('ft');
 
+// Ohne vollständige config/config.php liefe die Seite auf der Vorlage (öffentliches
+// app_secret, kein SMTP-Passwort) — dann gar nicht erst verarbeiten.
+if (config_problems() !== []) {
+    error_log('[' . date('c') . "] {$route}: Formular abgewiesen, Konfiguration unvollständig (php bin/preflight.php).\n", 3, STORAGE_PATH . '/logs/mail.log');
+    $respond(false, 'mail');
+}
+
 // --- Spam-Checks: Bots bekommen ein stilles "OK" (kein Feedback-Kanal) ---
 if ($field('company_url') !== '') {
     log_spam($route, 'honeypot');
@@ -44,54 +51,79 @@ if (!form_token_valid($token)) {
     $respond(true);
 }
 
-// Rate-Limit pro IP (sichtbarer Hinweis statt still — legitime NAT-Nutzer nicht im Dunkeln lassen).
-if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
-    log_spam($route, 'ratelimit');
-    $respond(false, 'ratelimit');
-}
-
-// --- Validierung ---
+// --- Eingaben ---
 $name = $field('name');
 $email = $field('email');
 $phone = $field('phone');
 $interest = $field('interest');
 $subject = $field('subject');
 $message = $field('message');
+$privacy = ($_POST['privacy'] ?? '') === '1';
 
 $interests = ['', 'Herrenfußball', 'Frauenfußball', 'Jugendfußball', 'Turnen', 'Sonstiges'];
 
-$valid = $name !== '' && mb_strlen($name) <= 200
-    && filter_var($email, FILTER_VALIDATE_EMAIL) !== false
-    && mb_strlen($phone) <= 50
-    && in_array($interest, $interests, true)
-    && $subject !== '' && mb_strlen($subject) <= 200
-    && $message !== '' && mb_strlen($message) <= 5000
-    && ($_POST['privacy'] ?? '') === '1'
-    && !preg_match('/[\r\n]/', $name . $subject);
-
-if (!$valid) {
-    $respond(false, 'validation');
+// --- Validierung (Whitelist-Prinzip, Fehler pro Feld) ---
+$errors = [];
+if ($name === '' || mb_strlen($name) > 200 || preg_match('/[\r\n]/', $name)) {
+    $errors['contact-name'] = 'Bitte gib deinen Namen an (max. 200 Zeichen).';
+}
+if (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
+    $errors['contact-email'] = 'Bitte gib eine gültige E-Mail-Adresse an.';
+}
+if (mb_strlen($phone) > 50) {
+    $errors['contact-phone'] = 'Die Telefonnummer ist zu lang (max. 50 Zeichen).';
+}
+if (!in_array($interest, $interests, true)) {
+    $errors['contact-interest'] = 'Bitte wähle einen der angebotenen Bereiche.';
+}
+if ($subject === '' || mb_strlen($subject) > 200 || preg_match('/[\r\n]/', $subject)) {
+    $errors['contact-subject'] = 'Bitte gib einen Betreff an (max. 200 Zeichen, einzeilig).';
+}
+if ($message === '' || mb_strlen($message) > 5000) {
+    $errors['contact-message'] = 'Bitte schreib uns eine Nachricht (max. 5000 Zeichen).';
+}
+if (!$privacy) {
+    $errors['contact-privacy'] = 'Ohne Zustimmung zum Datenschutz können wir die Anfrage nicht entgegennehmen.';
 }
 
-// --- Inhalts-/Aufkommens-Heuristiken (still abweisen, Bot-typisch) ---
+if ($errors !== []) {
+    if ($wantsJson) {
+        header('Content-Type: application/json; charset=utf-8');
+        echo json_encode(['ok' => false, 'error' => 'validation', 'fields' => $errors]);
+        exit;
+    }
+    // Ohne JS: Seite mit Eingaben und Feldfehlern neu rendern statt PRG (Werte bleiben erhalten).
+    render_form_invalid($return, [
+        'name' => $name, 'email' => $email, 'phone' => $phone, 'interest' => $interest,
+        'subject' => $subject, 'message' => $message, 'privacy' => $privacy ? '1' : '',
+    ], $errors);
+}
+
+// --- Inhalts-Heuristik (still abweisen, Bot-typisch) ---
 if (preg_match_all('~https?://~i', $subject . ' ' . $message) > 2) {
     log_spam($route, 'links');
     $respond(true);
 }
-// Globaler Tages-Cap als Brevo-Kosten-Backstop — die Flut soll ihn nicht bemerken.
-if (!rate_limit_ok('daily', 100, 86400)) {
-    log_spam($route, 'daily-cap');
-    $respond(true);
+
+// --- Volumen-Grenzen: erst ab hier, damit Tippfehler kein Kontingent verbrauchen.
+// Sie antworten ehrlich — stilles "Danke" ohne Versand verschluckt echte Anfragen. ---
+if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
+    log_spam($route, 'ratelimit');
+    $respond(false, 'ratelimit');
 }
-// Token-Mehrfachnutzung begrenzen (Replay-Schutz, großzügig für menschliches Mehrfach-Senden).
-if (!rate_limit_ok('token|' . $token, 3, 86400)) {
+// Token-Mehrfachnutzung begrenzen (Replay-Schutz). IP im Schlüssel, weil form_token()
+// sekundengenau ist: sonst teilen sich alle Besucher derselben Sekunde ein Kontingent.
+if (!rate_limit_ok('token|' . $token . '|' . client_ip(), 3, 86400)) {
     log_spam($route, 'replay');
-    $respond(true);
+    $respond(false, 'ratelimit');
+}
+// Globaler Tages-Cap über alle Formulare: schützt Postfach und Absender-Reputation.
+if (!rate_limit_ok('daily', 200, 86400)) {
+    log_spam($route, 'daily-cap');
+    $respond(false, 'busy');
 }
 
 // --- Versand ---
-$smtp = config('smtp');
-
 $body = "Kontaktanfrage über tsv08kulmbach.de\n"
     . str_repeat('-', 40) . "\n"
     . "Name:      {$name}\n"
@@ -104,27 +136,11 @@ $body = "Kontaktanfrage über tsv08kulmbach.de\n"
     . str_repeat('-', 40) . "\n"
     . 'Datenschutz zugestimmt: ja (' . date('d.m.Y H:i') . ")\n";
 
-try {
-    $mail = new PHPMailer(true);
-    $mail->isSMTP();
-    $mail->Host = $smtp['host'];
-    $mail->Port = (int) $smtp['port'];
-    $mail->SMTPAuth = true;
-    $mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;
-    $mail->Username = $smtp['username'];
-    $mail->Password = $smtp['password'];
-    $mail->CharSet = PHPMailer::CHARSET_UTF8;
+$sent = send_mail([
+    'context'  => 'Kontaktanfrage',
+    'subject'  => 'Kontaktanfrage: ' . $subject,
+    'body'     => $body,
+    'reply_to' => ['email' => $email, 'name' => $name],
+]);
 
-    $mail->setFrom($smtp['from'], $smtp['from_name']);
-    $mail->addAddress($smtp['to']);
-    $mail->addReplyTo($email, $name);
-    $mail->Subject = 'Kontaktanfrage: ' . $subject;
-    $mail->Body = $body;
-
-    $mail->send();
-} catch (Throwable $e) {
-    error_log('[' . date('c') . '] Mailversand fehlgeschlagen: ' . $e->getMessage() . "\n", 3, STORAGE_PATH . '/logs/mail.log');
-    $respond(false, 'mail');
-}
-
-$respond(true);
+$respond($sent, $sent ? '' : 'mail');

app/actions/membership-submit.php

@@ -6,12 +6,11 @@ declare(strict_types=1);
  * POST /mitglied-werden-senden — Mitgliedsantrag Fußball (schlank, ohne Bankdaten).
  * Versendet eine interne Vereins-Mail (erfolgskritisch) und eine Eingangsbestätigung
  * an den Antragsteller (optional, Fehler dort wird nicht an den Besucher geleakt).
- * Antwort: PRG-Redirect zu /mitglied-werden#anmeldung-fussball (?sent=1 | ?error=…)
- * oder JSON bei fetch (form.js).
+ * Antwort: PRG-Redirect zu /mitglied-werden#anmeldung-fussball (?sent=1 | ?error=…),
+ *          JSON bei fetch (form.js) oder — bei Feldfehlern ohne JS — die Seite direkt
+ *          mit HTTP 422, erhaltenen Eingaben und Feldfehlern (render_form_invalid()).
  */
 
-use PHPMailer\PHPMailer\PHPMailer;
-
 $wantsJson = str_contains($_SERVER['HTTP_ACCEPT'] ?? '', 'application/json');
 
 $respond = static function (bool $ok, string $error = '') use ($wantsJson): never {
@@ -29,6 +28,13 @@ $field = static fn (string $key): string => trim((string) ($_POST[$key] ?? ''));
 $route = 'mitglied-werden';
 $token = $field('ft');
 
+// Ohne vollständige config/config.php liefe die Seite auf der Vorlage (öffentliches
+// app_secret, kein SMTP-Passwort) — dann gar nicht erst verarbeiten.
+if (config_problems() !== []) {
+    error_log('[' . date('c') . "] {$route}: Formular abgewiesen, Konfiguration unvollständig (php bin/preflight.php).\n", 3, STORAGE_PATH . '/logs/mail.log');
+    $respond(false, 'mail');
+}
+
 // --- Spam-Checks: Bots bekommen ein stilles "OK" (kein Feedback-Kanal) ---
 if ($field('company_url') !== '') {
     log_spam($route, 'honeypot');
@@ -39,12 +45,6 @@ if (!form_token_valid($token)) {
     $respond(true);
 }
 
-// Rate-Limit pro IP (sichtbarer Hinweis statt still — legitime NAT-Nutzer nicht im Dunkeln lassen).
-if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
-    log_spam($route, 'ratelimit');
-    $respond(false, 'ratelimit');
-}
-
 // --- Eingaben ---
 $firstName = $field('first_name');
 $lastName = $field('last_name');
@@ -55,6 +55,8 @@ $zip = $field('zip');
 $city = $field('city');
 $email = $field('email');
 $feeClass = $field('fee_class');
+$statute = ($_POST['statute'] ?? '') === '1';
+$privacy = ($_POST['privacy'] ?? '') === '1';
 
 // Beitragsklassen-Whitelist identisch zur Seite aus data/mitglied-werden.json ableiten.
 $data = json_load('mitglied-werden');
@@ -63,39 +65,84 @@ $feeOptions = array_map(
     $data['fussball']['fees']['rows'] ?? []
 );
 
-// --- Validierung (Whitelist-Prinzip) ---
-$valid = $firstName !== '' && mb_strlen($firstName) <= 100
-    && $lastName !== '' && mb_strlen($lastName) <= 100
-    && preg_match('/^\d{4}-\d{2}-\d{2}$/', $birthDate) === 1
-    && $phone !== '' && mb_strlen($phone) <= 50
-    && $street !== '' && mb_strlen($street) <= 200
-    && $zip !== '' && mb_strlen($zip) <= 10
-    && $city !== '' && mb_strlen($city) <= 100
-    && filter_var($email, FILTER_VALIDATE_EMAIL) !== false
-    && in_array($feeClass, $feeOptions, true)
-    && ($_POST['statute'] ?? '') === '1'
-    && ($_POST['privacy'] ?? '') === '1'
-    && !preg_match('/[\r\n]/', $firstName . $lastName . $city . $street);
-
-if (!$valid) {
-    $respond(false, 'validation');
+// Geburtsdatum: Format, echter Kalendertag und plausibler Zeitraum.
+$birthValid = false;
+if (preg_match('/^(\d{4})-(\d{2})-(\d{2})$/', $birthDate, $m) === 1) {
+    $birthValid = checkdate((int) $m[2], (int) $m[3], (int) $m[1])
+        && $birthDate <= date('Y-m-d')
+        && (int) $m[1] >= (int) date('Y') - 120;
 }
 
-// --- Aufkommens-Heuristiken (still abweisen) ---
-// Globaler Tages-Cap als Brevo-Kosten-Backstop — die Flut soll ihn nicht bemerken.
-if (!rate_limit_ok('daily', 100, 86400)) {
-    log_spam($route, 'daily-cap');
-    $respond(true);
+// --- Validierung (Whitelist-Prinzip, Fehler pro Feld) ---
+$errors = [];
+if ($firstName === '' || mb_strlen($firstName) > 100 || preg_match('/[\r\n]/', $firstName)) {
+    $errors['mm-first-name'] = 'Bitte gib den Vornamen an (max. 100 Zeichen).';
 }
-// Token-Mehrfachnutzung begrenzen (Replay-Schutz, großzügig für menschliches Mehrfach-Senden).
-if (!rate_limit_ok('token|' . $token, 3, 86400)) {
+if ($lastName === '' || mb_strlen($lastName) > 100 || preg_match('/[\r\n]/', $lastName)) {
+    $errors['mm-last-name'] = 'Bitte gib den Nachnamen an (max. 100 Zeichen).';
+}
+if (!$birthValid) {
+    $errors['mm-birth-date'] = 'Bitte gib ein gültiges Geburtsdatum an.';
+}
+if ($phone === '' || mb_strlen($phone) > 50) {
+    $errors['mm-phone'] = 'Bitte gib eine Telefonnummer an (max. 50 Zeichen).';
+}
+if ($street === '' || mb_strlen($street) > 200 || preg_match('/[\r\n]/', $street)) {
+    $errors['mm-street'] = 'Bitte gib Straße und Hausnummer an.';
+}
+if ($zip === '' || mb_strlen($zip) > 10 || preg_match('/[^\p{L}\d \-]/u', $zip)) {
+    $errors['mm-zip'] = 'Bitte gib eine gültige Postleitzahl an.';
+}
+if ($city === '' || mb_strlen($city) > 100 || preg_match('/[\r\n]/', $city)) {
+    $errors['mm-city'] = 'Bitte gib den Wohnort an (max. 100 Zeichen).';
+}
+if (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
+    $errors['mm-email'] = 'Bitte gib eine gültige E-Mail-Adresse an.';
+}
+if (!in_array($feeClass, $feeOptions, true)) {
+    $errors['mm-fee-class'] = 'Bitte wähle eine Beitragsklasse aus der Liste.';
+}
+if (!$statute) {
+    $errors['mm-statute'] = 'Ohne Anerkennung der Satzung ist keine Mitgliedschaft möglich.';
+}
+if (!$privacy) {
+    $errors['mm-privacy'] = 'Ohne Zustimmung zum Datenschutz können wir den Antrag nicht entgegennehmen.';
+}
+
+if ($errors !== []) {
+    if ($wantsJson) {
+        header('Content-Type: application/json; charset=utf-8');
+        echo json_encode(['ok' => false, 'error' => 'validation', 'fields' => $errors]);
+        exit;
+    }
+    // Ohne JS: Seite mit Eingaben und Feldfehlern neu rendern statt PRG (Werte bleiben erhalten).
+    render_form_invalid($route, [
+        'first_name' => $firstName, 'last_name' => $lastName, 'birth_date' => $birthDate,
+        'phone' => $phone, 'street' => $street, 'zip' => $zip, 'city' => $city,
+        'email' => $email, 'fee_class' => $feeClass,
+        'statute' => $statute ? '1' : '', 'privacy' => $privacy ? '1' : '',
+    ], $errors);
+}
+
+// --- Volumen-Grenzen: erst ab hier, damit Tippfehler kein Kontingent verbrauchen.
+// Sie antworten ehrlich — stilles "Danke" ohne Versand verschluckt echte Anträge. ---
+if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
+    log_spam($route, 'ratelimit');
+    $respond(false, 'ratelimit');
+}
+// Token-Mehrfachnutzung begrenzen (Replay-Schutz). IP im Schlüssel, weil form_token()
+// sekundengenau ist: sonst teilen sich alle Besucher derselben Sekunde ein Kontingent.
+if (!rate_limit_ok('token|' . $token . '|' . client_ip(), 3, 86400)) {
     log_spam($route, 'replay');
-    $respond(true);
+    $respond(false, 'ratelimit');
+}
+// Globaler Tages-Cap über alle Formulare: schützt Postfach und Absender-Reputation.
+if (!rate_limit_ok('daily', 200, 86400)) {
+    log_spam($route, 'daily-cap');
+    $respond(false, 'busy');
 }
 
 // --- Versand ---
-$smtp = config('smtp');
-
 $body = "Neuer Mitgliedsantrag (Fußball) über tsv08kulmbach.de\n"
     . str_repeat('-', 40) . "\n"
     . "Vorname:        {$firstName}\n"
@@ -112,46 +159,28 @@ $body = "Neuer Mitgliedsantrag (Fußball) über tsv08kulmbach.de\n"
     . "Hinweis: Bankdaten werden online nicht erhoben – Beitrittserklärung\n"
     . "per Post zur Unterschrift zusenden.\n";
 
-$buildMailer = static function () use ($smtp): PHPMailer {
-    $mail = new PHPMailer(true);
-    $mail->isSMTP();
-    $mail->Host = $smtp['host'];
-    $mail->Port = (int) $smtp['port'];
-    $mail->SMTPAuth = true;
-    $mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;
-    $mail->Username = $smtp['username'];
-    $mail->Password = $smtp['password'];
-    $mail->CharSet = PHPMailer::CHARSET_UTF8;
-    return $mail;
-};
-
 // Mail 1 (intern) — erfolgskritisch.
-try {
-    $mail = $buildMailer();
-    $mail->setFrom($smtp['from'], $smtp['from_name']);
-    $mail->addAddress($smtp['to']);
-    $mail->addReplyTo($email, $firstName . ' ' . $lastName);
-    $mail->Subject = 'Mitgliedsantrag Fußball: ' . $firstName . ' ' . $lastName;
-    $mail->Body = $body;
-    $mail->send();
-} catch (Throwable $e) {
-    error_log('[' . date('c') . '] Mitgliedsantrag-Versand fehlgeschlagen: ' . $e->getMessage() . "\n", 3, STORAGE_PATH . '/logs/mail.log');
+$sent = send_mail([
+    'context'  => 'Mitgliedsantrag',
+    'subject'  => 'Mitgliedsantrag Fußball: ' . $firstName . ' ' . $lastName,
+    'body'     => $body,
+    'reply_to' => ['email' => $email, 'name' => $firstName . ' ' . $lastName],
+]);
+
+if (!$sent) {
     $respond(false, 'mail');
 }
 
-// Mail 2 (Eingangsbestätigung an Antragsteller) — optional, Fehler nicht an Besucher leaken.
+// Mail 2 (Eingangsbestätigung an den Antragsteller) — optional, Fehler nur ins Log.
 $welcome = $data['welcome_mail'] ?? null;
 if (is_array($welcome) && !empty($welcome['subject']) && !empty($welcome['body'])) {
-    try {
-        $confirm = $buildMailer();
-        $confirm->setFrom($smtp['from'], $smtp['from_name']);
-        $confirm->addAddress($email, $firstName . ' ' . $lastName);
-        $confirm->Subject = $welcome['subject'];
-        $confirm->Body = $welcome['body'];
-        $confirm->send();
-    } catch (Throwable $e) {
-        error_log('[' . date('c') . '] Bestätigungsmail fehlgeschlagen: ' . $e->getMessage() . "\n", 3, STORAGE_PATH . '/logs/mail.log');
-    }
+    send_mail([
+        'context' => 'Bestätigungsmail Mitgliedsantrag',
+        'to'      => $email,
+        'to_name' => $firstName . ' ' . $lastName,
+        'subject' => (string) $welcome['subject'],
+        'body'    => (string) $welcome['body'],
+    ]);
 }
 
 $respond(true);