Serverseitig: Uploads landen in der Navidrome-Bibliothek

Auf Wunsch: was vom Handy hochgeladen wird, soll auch in Navidrome
auftauchen. Die Subsonic-API kennt keinen Upload — also erledigt es die
Melo-Cloud selbst.

Server (/home/dustin/scripts/melo_cloud.py, nicht versioniert — Backup als
melo_cloud.py.bak-20260821-084506):
- verknuepfe_navidrome(): Hardlink der Registry-Datei nach
  /home/dustin/navidrome/music (Bind-Mount des Containers). Gleiche
  Partition -> kein zusaetzlicher Speicher. Fallback: Kopie.
- rescan_navidrome(): Subsonic startScan.view ueber Navidromes
  AuthProxyHeader (TrustedSources 127.0.0.1) — kein Passwort im Code.
  Nur zur Beschleunigung, der Watcher findet neue Dateien ohnehin.
- upload() verknuepft neue UND bereits bekannte Titel (heilt Bestand).
- handle_delete() entfernt die Datei aus Registry + Navidrome, sobald kein
  Konto sie mehr aktiv hat. Der Registry-EINTRAG bleibt stehen: handle_list
  haengt die Grabsteine daran (JOIN registry) — ohne ihn erfuehren die
  anderen Geraete nie von der Loeschung (Zombie-Song).
- registry_pfad(): gemeinsame Dateisuche ueber alle Audio-Endungen, mit
  Rueckfall auf den Navidrome-Ordner.

Nebenbei repariert:
- Alle 325 Cloud-Dateien lagen nur noch im Navidrome-Ordner, REG war leer:
  jeder Download antwortete "File missing". Per Hardlink zurueckverknuepft
  (scripts/melo_cloud_migriere_registry.py).
- upload() legte jede Datei als ".mp3" ab, auch m4a/flac. Jetzt echte
  Endung; _download liefert passenden Content-Type und einen Dateinamen
  ohne doppelte Endung.

App:
- MeloCloudService.herunterladen() gibt die geschriebene Datei zurueck und
  leitet die Endung aus dem Content-Type ab (endungFuer) — sonst landet
  eine M4A als .mp3 auf dem Handy und Android ordnet sie falsch ein.
- loeschBremseGreift(): der Abgleich reicht keine Loeschwelle mehr zum
  Server durch (>10 Titel UND >1/3 des Serverbestands). Ohne die Bremse
  haette eine nicht eingehaengte Speicherkarte die Sammlung auf allen
  Geraeten geloescht.

276 Tests gruen (1 uebersprungen), flutter analyze ohne Befund, plus ein
Durchlauf gegen den echten Server (scripts/test_melo_cloud_navidrome.py):
Upload -> Registry + Navidrome (ein Hardlink) -> Navidrome liest ein ->
Loeschen entfernt beides, Grabstein bleibt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01FpPu4nuKjKKeX1RpdDeX81

lib/services/melo_cloud_service.dart

@@ -3,6 +3,7 @@ import 'dart:io';
 
 import 'package:flutter/foundation.dart';
 import 'package:http/http.dart' as http;
+import 'package:path/path.dart' as p;
 
 import 'baka_auth.dart';
 import 'logger_service.dart';
@@ -74,8 +75,9 @@ class CloudException implements Exception {
 /// Wiedergabe-Verlauf.
 ///
 /// Bewusst nicht Navidrome: die Subsonic-API kennt keinen Upload-Endpunkt,
-/// eigene Dateien lassen sich darüber nicht zum Server bringen. Navidrome
-/// bleibt die Streaming-Bibliothek, die Melo-Cloud ist der Sync-Speicher.
+/// eigene Dateien lassen sich darüber nicht zum Server bringen. Die
+/// Melo-Cloud hängt hochgeladene Titel aber serverseitig in die
+/// Navidrome-Bibliothek ein — sie tauchen dort und im Web also trotzdem auf.
 class MeloCloudService {
   MeloCloudService({required this.auth, http.Client? client})
       : _client = client ?? http.Client();
@@ -181,14 +183,41 @@ class MeloCloudService {
     return parseUpload(antwort.body);
   }
 
-  /// Holt den Titel [cloudId] und schreibt ihn nach [ziel].
+  /// Dateiendung zum Inhaltstyp des Servers. Ohne bekannte Zuordnung `.mp3`.
+  ///
+  /// Nötig, weil die Bibliothek nicht nur MP3 enthält: eine als `.mp3`
+  /// abgelegte M4A bekäme vom Android-MediaStore den falschen Typ.
+  @visibleForTesting
+  static String endungFuer(String? contentType) {
+    final typ = (contentType ?? '').toLowerCase().split(';').first.trim();
+    return const {
+          'audio/mpeg': '.mp3',
+          'audio/mp4': '.m4a',
+          'audio/x-m4a': '.m4a',
+          'audio/aac': '.aac',
+          'audio/flac': '.flac',
+          'audio/x-flac': '.flac',
+          'audio/ogg': '.ogg',
+          'audio/opus': '.opus',
+          'audio/wav': '.wav',
+          'audio/x-wav': '.wav',
+        }[typ] ??
+        '.mp3';
+  }
+
+  /// Holt den Titel [cloudId] und legt ihn als `[basisName].<Endung>` in
+  /// [ordner] ab. Gibt die geschriebene Datei zurück, oder `null`.
   ///
   /// Geschrieben wird erst in eine `.part`-Datei; nur der vollständige
   /// Download wird umbenannt. Ein Abbruch hinterlässt damit keine halbe
   /// Datei, die der Bibliotheks-Scan für Musik hielte.
-  Future<bool> herunterladen(String cloudId, File ziel) async {
+  Future<File?> herunterladen(
+    String cloudId,
+    Directory ordner,
+    String basisName,
+  ) async {
     _pruefeAnmeldung();
-    final teil = File('${ziel.path}.part');
+    final teil = File(p.join(ordner.path, '$basisName.part'));
     try {
       final anfrage = http.Request('GET', Uri.parse('$basisUrl/download/$cloudId'))
         ..headers.addAll(_kopf);
@@ -196,17 +225,19 @@ class MeloCloudService {
           await _client.send(anfrage).timeout(const Duration(seconds: 180));
       if (antwort.statusCode != 200) {
         await logger.error('Cloud-Download $cloudId: HTTP ${antwort.statusCode}');
-        return false;
+        return null;
       }
-      await ziel.parent.create(recursive: true);
+      await ordner.create(recursive: true);
       await antwort.stream.pipe(teil.openWrite());
+      final ziel = File(p.join(ordner.path,
+          '$basisName${endungFuer(antwort.headers['content-type'])}'));
       await teil.rename(ziel.path);
-      return true;
+      return ziel;
     } catch (e) {
       await logger.error('Cloud-Download $cloudId fehlgeschlagen: $e', e,
           StackTrace.current);
       if (await teil.exists()) await teil.delete();
-      return false;
+      return null;
     }
   }
 

lib/services/sync_service.dart

@@ -102,6 +102,16 @@ SyncPlan planeSync({
   );
 }
 
+/// Ob eine Löschwelle gestoppt wird, statt sie zum Server durchzureichen.
+///
+/// Hintergrund: Der Bibliotheks-Scan markiert jeden Titel als gelöscht, dessen
+/// Datei er nicht mehr findet. Ist die Speicherkarte einmal nicht eingehängt
+/// oder die Berechtigung entzogen, betrifft das auf einen Schlag die halbe
+/// Sammlung — ohne Bremse würde der Abgleich sie am Server und damit auf allen
+/// Geräten löschen. Einzelne Löschungen laufen weiterhin ungehindert durch.
+bool loeschBremseGreift({required int zuLoeschen, required int bestand}) =>
+    zuLoeschen > 10 && zuLoeschen * 3 > bestand;
+
 /// Wie oft höchstens automatisch abgeglichen wird. Ein Abgleich beim
 /// Zurückkehren in die App darf nicht bei jedem Tab-Wechsel losrennen.
 const autoSyncAbstand = Duration(minutes: 15);
@@ -176,15 +186,28 @@ class SyncService extends ChangeNotifier {
     _melde('Vergleiche mit dem Server …');
 
     try {
+      final amServer = await cloud.liste();
       final plan = planeSync(
         lokal: await db.allSongs(),
-        server: await cloud.liste(),
+        server: amServer,
       );
       _gesamt = plan.gesamt;
       notifyListeners();
 
+      final bestand = amServer.where((s) => !s.geloescht).length;
+      final bremse = loeschBremseGreift(
+        zuLoeschen: plan.serverLoeschen.length,
+        bestand: bestand,
+      );
+      if (bremse) {
+        _fehler = 'Sicherheitsbremse: ${plan.serverLoeschen.length} von '
+            '$bestand Titeln würden am Server gelöscht. Das sieht nach einem '
+            'Fehler aus (z. B. Speicherkarte nicht eingehängt) — es wurde '
+            'nichts gelöscht.';
+      }
+
       await _ziehLoeschungenNach(plan.lokalLoeschen);
-      await _meldeLoeschungen(plan.serverLoeschen);
+      if (!bremse) await _meldeLoeschungen(plan.serverLoeschen);
       await _ladeHerunter(plan.herunterladen);
       await _ladeHoch(plan.hochladen);
       await _gleicheFavoritenAb();
@@ -232,11 +255,14 @@ class SyncService extends ChangeNotifier {
     final ordner = await _musikOrdner();
     for (final cloudSong in songs) {
       _melde('Lade „${cloudSong.titel}“ …');
-      final datei = File(p.join(
-        ordner.path,
-        '${_sichererDateiname(cloudSong.titel)}-${cloudSong.id}.mp3',
-      ));
-      if (!await cloud.herunterladen(cloudSong.id, datei)) {
+      // Die Endung bestimmt der Server anhand des echten Dateityps — die
+      // Bibliothek enthält nicht nur MP3.
+      final datei = await cloud.herunterladen(
+        cloudSong.id,
+        ordner,
+        '${_sichererDateiname(cloudSong.titel)}-${cloudSong.id}',
+      );
+      if (datei == null) {
         _erledigt++;
         continue;
       }