Ranggefuege: Rollen, die aufeinander aufbauen

Bisher trug jede Rolle ihre Rechte vollstaendig selbst. Bei achtzehn Rollen
und zweiundzwanzig Rechten heisst das, dass eine hoehere Rangrolle die ganze
Liste der darunterliegenden noch einmal abhaken muss - beim Anlegen
fehleranfaellig und bei jeder spaeteren Aenderung doppelt zu pflegen.

Ein Gefuege ist eine benannte, geordnete Folge von Rollen. Jede Sprosse
erbt alles von jeder Sprosse unter ihr, verwaltet wird nur noch das, was
oben dazukommt. Geerbt wird nicht nur die Rechteliste, sondern auch
Freigabestufe und Anmeldung: sonst waere eine Befoerderung unter Umstaenden
eine Herabstufung, naemlich immer dann, wenn Discord beim Befoerdern die
alte Rangrolle abnimmt.

Die Ordnung ist bewusst eine Reihenfolge und kein Zeiger je Rolle - ueber
ganzen Zahlen gibt es keinen Zyklus, den man abfangen muesste. Aufloesen
eines Gefueges laesst die Rollen stehen und nimmt nur das Geerbte weg.

Die Rechnung steht als reine Funktion in lib/auth/ladders.ts und wird an
drei Stellen benutzt: bei der Rechteaufloesung, in der Verwaltung und in
der Vorschau des Editors, die im Browser mitrechnet. Eine Vorschau, die den
Stand vor dem Verschieben zeigt, waere schlimmer als keine.

Die Rollenseite zeigt Geerbtes kursiv und gesperrt an, damit dort niemand
blind Kaestchen setzt, die laengst gesetzt sind.

Nebenbei: Aenderungen an der Rollenzuordnung landen jetzt im Protokoll, mit
Vorher und Nachher. Wer Rollen aendert, aendert die Rechte anderer - genau
dafuer ist es da.

web/lib/auth/effective.ts

@@ -7,6 +7,7 @@ import {
   type EffectivePermissions,
   type Permission,
 } from '@/lib/auth/permissions'
+import { highestRungPerLadder } from '@/lib/auth/ladders'
 
 /** Höchste Freigabestufe. */
 const MAX_CLEARANCE = 5
@@ -41,6 +42,11 @@ function bootstrapAdmin(userId: string): EffectivePermissions {
  * Löst die Rechte eines Nutzers aus `UserRole` × `RoleMapping` auf:
  * höchste Stufe aller Rollen, Vereinigung aller Rechte.
  *
+ * Steht eine Rolle in einem Ranggefüge, zählt zusätzlich alles, was die
+ * Sprossen unter ihr gewähren. Das trägt den Fall, dass beim Befördern in
+ * Discord die alte Rangrolle abgenommen wird: die neue allein muss dann schon
+ * genügen. Siehe lib/auth/ladders.ts.
+ *
  * `hasMembership` ist eine Ergänzung gegenüber docs/03-auth-und-rechte.md und
  * bildet den Türsteher ab: auf dem AfiS-Discord sind auch Gäste, die keine
  * Akte sehen dürfen. Siehe docs/13-entscheidungen.md.
@@ -73,6 +79,30 @@ export async function resolvePermissions(userId: string): Promise<EffectivePermi
       ? []
       : await db.roleMapping.findMany({
           where: { discordRoleId: { in: roleIds } },
+          select: {
+            clearanceLevel: true,
+            permissions: true,
+            grantsMembership: true,
+            ladderId: true,
+            ladderRank: true,
+          },
+        })
+
+  // Steht eine der Rollen in einem Ranggefüge, gilt auch alles darunter. Das
+  // wird **nachgeladen** statt in JavaScript aus der ganzen Tabelle gefiltert:
+  // die Bedingung steht in der Abfrage, so wie bei jedem anderen Zugriff auch.
+  // Siehe lib/auth/ladders.ts für den Grund der Vererbung.
+  const hoechste = highestRungPerLadder(mappings)
+  const geerbt =
+    hoechste.size === 0
+      ? []
+      : await db.roleMapping.findMany({
+          where: {
+            OR: [...hoechste].map(([ladderId, rang]) => ({
+              ladderId,
+              ladderRank: { lte: rang },
+            })),
+          },
           select: { clearanceLevel: true, permissions: true, grantsMembership: true },
         })
 
@@ -80,7 +110,7 @@ export async function resolvePermissions(userId: string): Promise<EffectivePermi
   let hasMembership = false
   const permissions = new Set<Permission>()
 
-  for (const mapping of mappings) {
+  for (const mapping of [...mappings, ...geerbt]) {
     if (mapping.clearanceLevel > clearanceLevel) clearanceLevel = mapping.clearanceLevel
     if (mapping.grantsMembership) hasMembership = true
     for (const value of mapping.permissions) {