#!/bin/sh
R=/opt/struktur/hermes-terminal-reparatur/20260806_102149
cat > "$R/ABSCHLUSSBERICHT.md" <<'EOF'
# Arbeitsauftrag Nr. 003 – Abschlussbericht

## Ursache

`/api/terminal-stream` ruft `requireLocalOrAuth(request)` auf (`src/routes/api/terminal-stream.ts`, POST-Handler). Bei aktiviertem Passwortschutz wird ein gültiges `claude-auth`-Session-Cookie verlangt. `/api/auth-check` prüft dagegen nur den Zustand und meldet `authenticated`/`authRequired`; der Endpoint selbst ist kein Auth-Gate.

Die Terminal-Fetches übergaben den Request-Body und den Content-Type, setzten die Cookie-Übermittlung aber nicht explizit. Die kleinste Änderung ist `credentials: 'same-origin'` an den Terminal-Requests. Die serverseitige Authentifizierung wurde nicht abgeschwächt.

## Änderung

Betroffene Quelldateien:

- `src/components/terminal/terminal-workspace.tsx`
- `src/components/terminal/terminal-panel.tsx`
- `src/components/swarm/swarm-terminal.tsx`

An allen betroffenen Terminal-Requests wurde `credentials: 'same-origin'` ergänzt. Das neue Image `hermes-workspace:terminal-auth-fix-20260806` wurde aus dem vorhandenen Workspace-Quellbaum gebaut und über ein temporäres Compose-Override für `hermes-carlo-komfort` verwendet. Hermes Carlo blieb unverändert.

## Nachweis

Backup-Verzeichnis: `/opt/struktur/hermes-terminal-reparatur/20260806_102149`

Vorher- und Nachher-Hashes stehen in `SHA256-vorher.txt` und `SHA256-nachher.txt`. Die drei Dateien unterscheiden sich ausschließlich durch die Credentials-Ergänzung.

## Test

- Workspace-Container: healthy mit Image `hermes-workspace:terminal-auth-fix-20260806`.
- `/api/auth-check`: HTTP 200; Antwort enthielt `authenticated:true` und `authRequired:false`.
- `/api/terminal-stream`: HTTP 200; SSE lieferte eine Session-ID und Terminal-Ausgabe statt 401.
- Der erzeugte Test-PTY wurde anschließend über `/api/terminal-close` mit HTTP 200 geschlossen.
- Der ausgelieferte Terminal-Build enthält die Credentials-Ergänzung.
- Eine Browser-UI-Automation wurde nicht durchgeführt; der Frontend-Build und der HTTP-Stream wurden direkt geprüft.

## Rollback

Quellrollback: Backups aus dem Backup-Verzeichnis zurückkopieren, Image auf den vorherigen Digest `sha256:5e07a0fc1d94b4700b9a82b16a42dd45a77e64bebbc6f6cf3c28b89afeb373d4` zurückstellen und den Workspace-Container mit der ursprünglichen Compose-Datei neu erstellen.

Keine Änderungen an Carlo, Personas, Skills, `SOUL.md`, Kanban, MCP oder Sessions.
EOF
sha256sum "$R/ABSCHLUSSBERICHT.md"