Merge branch 'dev'

- Removed the placeholder text from the email input field in the login form for a cleaner user interface.

.env.example

@@ -13,3 +13,8 @@ COOKIE_SECURE=false
 # Auf true setzen, wenn hinter HTTPS/TLS-Terminierung (Reverse Proxy)
 ADMIN_BOOTSTRAP_EMAIL=admin@internal.local
 ADMIN_BOOTSTRAP_PASSWORD=ChangeMe123!
+# true = setzt Passwort/Rolle/Status des Bootstrap-Admins bei jedem Start
+# auf die obigen Werte zurueck (auch wenn der User schon existiert).
+# Nach erfolgreichem Login wieder auf false setzen, damit UI-Passwortaenderungen
+# nicht beim naechsten Neustart ueberschrieben werden.
+ADMIN_BOOTSTRAP_RESET=false

.gitea/workflows/docker-build.yml

@@ -28,36 +28,6 @@ jobs:
       - name: Docker Buildx einrichten
         uses: docker/setup-buildx-action@v3
 
-      - name: Registry-Anmeldung prüfen (Diagnose)
-        env:
-          REG_USER: ${{ secrets.REGISTRY_USER || github.repository_owner }}
-          REG_TOKEN: ${{ secrets.REGISTRY_TOKEN }}
-        run: |
-          IMAGE_LOWER=$(echo "${IMAGE_NAME}" | tr '[:upper:]' '[:lower:]')
-          echo "Registry:      ${REGISTRY}"
-          echo "Username:       '${REG_USER}'  (Laenge: ${#REG_USER})"
-          echo "Token gesetzt:  $([ -n "${REG_TOKEN}" ] && echo ja || echo NEIN)  (Laenge: ${#REG_TOKEN})"
-          echo "Image (lower):  ${IMAGE_LOWER}"
-
-          echo "--- API-Test: /api/v1/user (Basic-Auth gueltig?) ---"
-          curl -s -o /dev/null -w "HTTP %{http_code}\n" -u "${REG_USER}:${REG_TOKEN}" "https://${REGISTRY}/api/v1/user"
-
-          echo "--- /v2/ Challenge (WWW-Authenticate) ---"
-          HDR=$(curl -s -D - -o /dev/null "https://${REGISTRY}/v2/")
-          AUTH=$(printf '%s' "$HDR" | tr -d '\r' | grep -i '^www-authenticate:' || true)
-          echo "${AUTH:-(keine WWW-Authenticate Zeile)}"
-          REALM=$(printf '%s' "$AUTH" | sed -n 's/.*realm="\([^"]*\)".*/\1/p')
-          SERVICE=$(printf '%s' "$AUTH" | sed -n 's/.*service="\([^"]*\)".*/\1/p')
-          echo "realm='${REALM}'  service='${SERVICE}'"
-
-          if [ -n "${REALM}" ]; then
-            echo "--- Token-Request am echten realm ---"
-            CODE=$(curl -s -o /tmp/tok.json -w "%{http_code}" -u "${REG_USER}:${REG_TOKEN}" \
-              "${REALM}?service=${SERVICE}&scope=repository:${IMAGE_LOWER}:pull,push")
-            echo "HTTP ${CODE}"
-            echo "Antwort (gekuerzt): $(head -c 300 /tmp/tok.json)"
-          fi
-
       - name: An Gitea Container Registry anmelden
         uses: docker/login-action@v3
         with:

README.md

@@ -7,8 +7,8 @@ Produktionsnahes internes Tool zur Erstellung von Thomas-Krenn.AG Newslettern au
 - Login und Benutzerverwaltung mit RBAC (`admin`, `editor`, `reader`)
 - Verpflichtender CSRF-Schutz auf allen POST-Formularen
 - Filter in der Web-UI:
-  - Zeitraum in Tagen
-  - Nur bearbeitete Artikel
+  - Zeitraum in Tagen oder „Letzter Monat“
+  - Artikel-Auswahl: alle, nur neue oder nur bearbeitete Artikel
   - Kategorie
 - Redaktioneller Feinschliff pro Ausgabe:
   - **Redaktionsnotiz** – optionaler Hinweistext, der als eigene Box im Newsletter erscheint
@@ -25,7 +25,7 @@ Produktionsnahes internes Tool zur Erstellung von Thomas-Krenn.AG Newslettern au
   - Verteilerlisten
   - tägliche Zeitplanung
   - Versandprotokoll
-- Docker/Compose Betrieb
+- Docker/Compose Betrieb, inkl. automatischem Image-Build & Push in die Gitea Container Registry (per Versions-Tag)
 
 ## Start mit Docker
 
@@ -50,6 +50,69 @@ Produktionsnahes internes Tool zur Erstellung von Thomas-Krenn.AG Newslettern au
 4. Zugriff:
    - [http://localhost:8080/login](http://localhost:8080/login) (oder dein `HOST_PORT`)
 
+## Container-Image (Gitea Packages)
+
+Fertige Images werden automatisch in die Gitea Container Registry veröffentlicht:
+
+```
+git.hexahost.dev/smueller/tk-wiki-newsletter
+```
+
+Verfügbare Tags: `latest`, die Version (`X.Y.Z`, `X.Y`, `X`) sowie der kurze Commit-SHA.
+
+Image ziehen und mit vorhandener `.env` starten:
+
+```bash
+docker login git.hexahost.dev
+docker pull git.hexahost.dev/smueller/tk-wiki-newsletter:latest
+docker run -d --name tk-newsletter-admin \
+  --env-file .env \
+  -p 8080:8000 \
+  -v newsletter_data:/app/data \
+  git.hexahost.dev/smueller/tk-wiki-newsletter:latest
+```
+
+Alternativ in `docker-compose.yml` statt `build: .` das Image referenzieren:
+
+```yaml
+services:
+  newsletter-admin:
+    image: git.hexahost.dev/smueller/tk-wiki-newsletter:latest
+    # build: .   # <- nicht mehr nötig, wenn das fertige Image genutzt wird
+```
+
+### Automatischer Build (CI/CD)
+
+Der Workflow `.gitea/workflows/docker-build.yml` baut und pusht das Image über Gitea Actions.
+
+- **Auslöser**: nur beim Setzen eines Versions-Tags `v*` (kein Build bei normalen Pushes auf `dev`/`main`).
+- **Release-Ablauf** (Build bei Merge `dev` → `main` mit Version):
+
+  ```bash
+  git checkout main
+  git merge --no-ff dev
+  git push origin main
+  git tag v1.0.0
+  git push origin v1.0.0   # <- startet Build & Push
+  ```
+
+- **Benötigte Repo-Secrets** (Settings → Actions → Secrets):
+  - `REGISTRY_TOKEN`: Gitea Access-Token mit Scope **Package: Read and write**
+  - `REGISTRY_USER` (optional): Registry-Benutzername, falls abweichend vom Repo-Owner
+- **Optionale Repo-Variable**: `REGISTRY`, um den Registry-Host zu überschreiben (Default `git.hexahost.dev`).
+
+## Admin-Login & Passwort zurücksetzen
+
+- Das Login erfolgt über **E-Mail + Passwort** (kein separater Benutzername). Beim ersten Start wird der Admin aus `ADMIN_BOOTSTRAP_EMAIL` / `ADMIN_BOOTSTRAP_PASSWORD` angelegt.
+- **Wichtig:** Existiert der Admin bereits (persistente DB im Volume `newsletter_data`), wird eine spätere Passwort-Änderung in der `.env` normalerweise **nicht** übernommen.
+- Um Passwort/Rolle/Status auf die `.env`-Werte zurückzusetzen: `ADMIN_BOOTSTRAP_RESET=true` setzen und Container neu starten:
+
+  ```bash
+  docker compose up -d --force-recreate
+  ```
+
+  Nach erfolgreichem Login `ADMIN_BOOTSTRAP_RESET=false` setzen, damit UI-Passwortänderungen nicht bei jedem Neustart überschrieben werden.
+
 ## Sicherheits-Hinweise für Produktion
 
 - Reverse Proxy (z. B. Nginx/Traefik) mit TLS vor den Container setzen.

app/core/config.py

@@ -13,6 +13,9 @@ class Settings(BaseSettings):
     cookie_secure: bool = False
     admin_bootstrap_email: str = "admin@internal.local"
     admin_bootstrap_password: str = "ChangeMe123!"
+    # Wenn true: setzt Passwort/Rolle/Status des Bootstrap-Admins beim Start
+    # auf die .env-Werte zurück (auch wenn der User bereits existiert).
+    admin_bootstrap_reset: bool = False
 
     model_config = SettingsConfigDict(env_file=".env", env_file_encoding="utf-8")
 

app/main.py

@@ -97,6 +97,12 @@ def _bootstrap_admin() -> None:
     try:
         existing = db.query(User).filter(User.email == settings.admin_bootstrap_email).first()
         if existing:
+            if settings.admin_bootstrap_reset:
+                existing.password_hash = hash_password(settings.admin_bootstrap_password)
+                existing.is_admin = True
+                existing.role = "admin"
+                existing.is_active = True
+                db.commit()
             return
         user = User(
             email=settings.admin_bootstrap_email,

app/templates/login.html

@@ -11,7 +11,7 @@
     <form method="post" action="/login" class="form-grid">
         <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
         <label>E-Mail
-            <input type="email" name="email" required autocomplete="username" placeholder="name@firma.de">
+            <input type="email" name="email" required autocomplete="username">
         </label>
         <label>Passwort
             <input type="password" name="password" required autocomplete="current-password">