Vorlagen-JSON abweisen statt still verwerfen, Platzhalter ohne Prototypkette

Durchgesehen, was mit Text passiert, der nicht als Text ankommt. Die Grundlage
war schon in Ordnung: genau ein dangerouslySetInnerHTML mit einer Konstanten,
kein eval, kein $queryRawUnsafe, keine Weiterleitung aus einem Adressparameter,
Dateien mit nosniff und sandbox-CSP als Anhang statt inline.

Drei Ränder waren offen.

**Vorlagen.** Das zod-Schema hatte einen festen Satz Feldarten und speicherte
das Geprüfte, verwarf unbekannte Schlüssel aber stillschweigend. Mit
strictObject fällt ein `typ` statt `type` auf, statt eine Vorlage zu
hinterlassen, die nicht tut, was dasteht.

**Platzhalter lasen über die Prototypkette.** Beim Durchprobieren gefunden:
`constructor` ist ein gültiger Feldschlüssel, die Schlüsselregel erlaubt
Kleinbuchstaben. Ein Baustein mit {{constructor}} bekam den Quelltext der
geerbten Funktion in den Text geschrieben - kein ausgeführter Code, aber
Innenleben in einem Dokument, das weitergereicht wird. Jetzt Object.hasOwn.

**Farbmarken aus der Datenbank** landen als Name einer CSS-Variablen in einem
style-Attribut. Heute setzt das nur der Seed, und eine zweite Deklaration liesse
sich darüber ohnehin nicht einschleusen - aber der Kommentar sagt „im
Adminbereich pflegbar", und was aus der Datenbank in ein Stilattribut geht,
wird geprüft.

Dreizehn Prüfungen, die es mit echten Versuchen probieren. Bösartiger Text
bleibt dabei ausdrücklich erlaubt: eine Feldbeschriftung darf
<script>alert(1)</script> heissen und sieht dann genau so aus. Verboten ist,
dass daraus ein Element wird.

Nebenbei: eine Vorlagenänderung stand im Zugriffsprotokoll als roles.update.

web/components/StampMark.tsx

@@ -11,6 +11,32 @@ export function stampColor(level: number): string {
   return STAMP_COLOR[level] ?? STAMP_COLOR[0]!
 }
 
+/**
+ * Die Farbmarken, die aus der Datenbank kommen duerfen.
+ *
+ * `ClearanceLevelConfig.colorToken` und `PersonnelStatusTag.colorToken` sind
+ * Daten und im Adminbereich pflegbar. Sie landen als Name einer CSS-Variablen
+ * in einem `style`-Attribut, und was aus der Datenbank in ein Stilattribut
+ * geht, wird geprueft — nicht weil es heute jemand setzen koennte, sondern
+ * weil es morgen jemand koennen soll. Ein unbekannter Wert faellt auf die
+ * neutrale Marke zurueck, statt eine Variable zu erfinden, die es nicht gibt.
+ */
+export const COLOR_TOKENS = [
+  'stamp-0',
+  'stamp-1',
+  'stamp-2',
+  'stamp-3',
+  'stamp-4',
+  'stamp-5',
+] as const
+
+export type ColorToken = (typeof COLOR_TOKENS)[number]
+
+export function colorVariable(token: string | null | undefined): string {
+  const erlaubt = (COLOR_TOKENS as readonly string[]).includes(token ?? '')
+  return `var(--color-${erlaubt ? token : 'stamp-0'})`
+}
+
 /**
  * Stempelmarke oben rechts am Objekt. Der Stempelcharakter kommt aus dem
  * schmalen Schnitt, der Rahmenlinie und der Farbe, nicht aus Grossbuchstaben.