Login-Analyse gesichert: Bug war im Server (case-sensitiv), nicht in der App

Melo wird als Nebenprojekt pausiert — Übergabe-Doku LOGIN_STAND.md hält
den Analysestand fest: App-Code war bereits korrekt (beide früheren
Login-Fixes gemergt, 39 Tests grün), der eigentliche Bug lag in
handle_login() in /home/dustin/scripts/baka_auth.py (case-sensitiver
Username-Vergleich, inkonsistent zum Rest des Systems) und wurde dort
mit Dustins Freigabe behoben. Offener Punkt: echter Gerätetest steht
noch aus.

ANIMATION_STAND.md

@@ -1,111 +0,0 @@
-# Animations-Serie (HyperOS-inspiriert) — Stand bei Pause
-
-Projekt pausiert am 2026-08-31. Dieses Dokument fasst zusammen, wo die
-Animations-Serie steht, damit eine neue Session nahtlos weitermachen kann.
-
-## Herkunft
-
-Ausgangspunkt: Analyse-Auftrag zur Xiaomi-Musik-App/HyperOS-Design-Sprache,
-daraus ein Bericht mit 5 Animations-Empfehlungen für Mello, priorisiert nach
-Aufwand/Wirkung. Punkte 1+2 sind umgesetzt, Punkt 3 ist im Design fertig
-abgestimmt, aber **noch nicht implementiert**. Punkte 4+5 sind offen.
-
-## Status je Punkt
-
-### ✅ Punkt 1 — Staggered List-Enter-Animation (fertig, gemerged-bereit)
-`EinblendItem`-Widget (`lib/shared/einblend_item.dart`), eingebunden in
-`song_list.dart`/`artist_list.dart`. Fertig, getestet, committet+gepusht auf
-Branch `fix/tinker-feedback` (im Worktree `~/mello-dev/app`). Noch nicht in
-`main` gemerged.
-
-### ✅ Punkt 2 — Vollbild-Player als Live-Blur-Overlay (fertig, gepusht)
-NowPlayingScreen von Navigator-Route zu persistentem Overlay in HomeShell
-umgebaut (`PlayerExpansionController`, Live-Blur/Cover-Interpolation während
-der Wischgeste). Vollständig umgesetzt (10-Task-Plan + 3 Bugfixes aus dem
-finalen Review), 626 Tests grün, `flutter analyze` sauber.
-
-- **Branch:** `feature/blur-oeffnen-transition` (Basis: `fix/tinker-feedback`)
-- **Worktree:** `~/mello-dev/worktrees/blur-transition` (dieser hier)
-- **Gepusht**, PR noch nicht erstellt/gemerged:
-  https://git.baka-net.de/dustin/Melo/pulls/new/feature/blur-oeffnen-transition
-- **Spec:** `docs/superpowers/specs/2026-08-29-blur-oeffnen-transition-design.md`
-- **Plan:** `docs/superpowers/plans/2026-08-29-blur-oeffnen-transition.md`
-- Durchlief ein Adversarial-Review-Panel (Budget-Mode, 3 Reviewer) vor der
-  Umsetzung — fand einen echten P0 (falsches `AnimatedBuilder.child`-Muster).
-  Ein zweites Review NACH der Umsetzung, vor dem Push, fand nochmal 3 echte
-  Bugs (Provider-Scope-Crash bei per `Navigator.push` geöffneten Screens,
-  RenderFlex-Overflow während der Öffnen-Geste, asymmetrischer
-  `dragEnd`-Bug) — alle behoben, siehe Commit-History auf dem Branch.
-- **Wichtige Lektion für künftige Overlay-artige Provider:** Ein
-  `ChangeNotifierProvider`, der nur innerhalb eines Screens (nicht oberhalb
-  des Navigators) bereitgestellt wird, ist für per `Navigator.push` geöffnete
-  Screens unsichtbar (die sind Geschwister im selben Navigator/Overlay,
-  keine Nachfahren). `PlayerExpansionController` sitzt deshalb jetzt in
-  `MeloApp`s `MultiProvider` (`lib/main.dart`), nicht in `HomeShell`.
-
-### 🔜 Punkt 3 — Karaoke-Glow in der Songtext-Ansicht (Design fertig, NICHT umgesetzt)
-**Nächster Schritt beim Wiederaufnehmen.** Brainstorming abgeschlossen,
-Design mit Dustin abgestimmt und freigegeben — direkt umsetzbar ohne erneute
-Rückfrage:
-
-- **Datei:** `lib/player/now_playing_screen.dart`, Klasse `_Mitlaufend`
-  (aktuell Zeile ~759-810 auf diesem Branch), nur der `AnimatedDefaultTextStyle`
-  darin (~Zeile 793-800).
-- **Änderung:**
-  - `style:` bekommt zusätzlich `shadows:`, animiert über den bestehenden
-    `AnimatedDefaultTextStyle`-Mechanismus (kein neuer Controller nötig,
-    `TextStyle.lerp` interpoliert `shadows` automatisch):
-    - Inaktive Zeile: `shadows: const []`
-    - Aktive Zeile: `shadows: [Shadow(color: MeloTheme.red.withValues(alpha: 0.55), blurRadius: 10)]`
-  - Textfarbe bleibt wie bisher (`Colors.white`/`MeloTheme.text3`) — bewusst
-    **kein** rot eingefärbter Text (Kontrast/Lesbarkeit auf dunklem Grund),
-    stattdessen weißer Text mit rotem Glow dahinter ("Spotlight"-Effekt).
-    Diese Frage wurde Dustin explizit gestellt, Antwort: Glow statt
-    Rot-Einfärbung.
-  - `duration:` von `MeloMotion.fast` (120ms) auf `MeloMotion.normal` (220ms)
-    korrigiert — laut `theme.dart`s eigener Doku ist `fast` für
-    Touch-Feedback gedacht, ein Zeilenwechsel ist aber ein Inhalts-Wechsel
-    (`normal`). Passt auch besser zum "fließenden" Karaoke-Gefühl.
-- **Testing:** bestehenden Widget-Test für `_Mitlaufend`/`_LyricsSheet`
-  (falls vorhanden) auf den neuen `shadows`-Wert prüfen; neuer Test bestätigt
-  aktive Zeile hat `MeloTheme.red`-farbenen Schatten, inaktive `shadows: []`.
-- **Workflow ab hier:** TDD-Umsetzung (bounded, kein Plan-Dokument nötig) →
-  `@code-reviewer`-Skill (`/code-review`) vor dem Commit → committen+pushen
-  auf `feature/blur-oeffnen-transition` (baut direkt auf Punkt 2 auf, gleiche
-  Datei).
-
-### ⬜ Punkt 4 — Advanced-Blur-Kopplung am Farbverlauf-Hintergrund (offen)
-Aus dem ursprünglichen Bericht: `_CoverGrund`s Farbverlauf-Hintergrund
-zusätzlich leicht auf Wisch-Distanz reagieren lassen (Blur-Radius steigt
-beim Öffnen/Schließen). Noch nicht brainstormed/geplant. Mittlerer Aufwand,
-baut auf Punkt 2s `progress`-Wert auf (`PlayerExpansionController`).
-
-### ⬜ Punkt 5 — Equalizer-Visualizer (offen, niedrige Priorität)
-Spektrum-Visualizer in `equalizer_screen.dart`, analog zu Xiaomis
-Musik-App. Braucht Audio-Frequenzanalyse (aktuell nicht vorhanden) —
-deutlich höherer Aufwand, im ursprünglichen Bericht selbst als
-"nice-to-have, niedrige Priorität" eingestuft. Noch nicht brainstormed.
-
-## Wichtige Rahmenbedingungen fürs Wiederaufnehmen
-
-- **Worktree-Disziplin:** `~/mello-dev/app` ist ein GETEILTER Worktree
-  (andere Session, aktuell "Hermes"/`mello-dev-80`, arbeitet dort an
-  YouTube-Gast-Zugang o.ä.) — vor jedem `git`-Befehl dort `git status`
-  prüfen, nicht blind committen. Für neue, eigenständige Punkte (4/5) einen
-  eigenen Worktree anlegen (`git worktree add -b <branch> ~/mello-dev/worktrees/<name> <basis>`),
-  wie bei Punkt 2 geschehen.
-- **Flutter-Binary:** IMMER `/home/dustin/development/flutter/bin/flutter`
-  verwenden, NICHT das über PATH auffindbare Snap-`flutter` — letzteres
-  wirft "Invalid kernel binary format version" (Toolchain-Mismatch mit den
-  gecachten Native-Hooks).
-- **Pläne/fertige Designs gehen an Hermes** (Peer-Session `mello-dev-80`),
-  nicht direkt an Dustin im Chat — Hermes bespricht mit Dustin und gibt dann
-  die Freigabe zurück. Ausnahme: reine Werkzeug-/Ziel-Klärungen.
-- **Skill-Workflow laut Projekt-CLAUDE.md:** brainstorming → planning (nur
-  bei Architectural-Einstufung) → agent-review-panel → TDD → Debugging.
-  Für Punkt 2 wurde ein Budget-Mode-Adversarial-Panel genutzt (3 Reviewer:
-  Code-Quality-Auditor, Feasibility-Analyst, Devil's Advocate + Synthese
-  ohne separaten Richter-Agent, da die Befunde stark konvergent/eindeutig
-  waren) — hat sich gelohnt, fand echte Bugs vor UND nach der Umsetzung.
-- **Subagent-Profile aktiv nutzen:** `@melo-specialist` für alle
-  App-Änderungen (nicht general-purpose).

CHANGELOG.md

@@ -236,6 +236,129 @@ Vor dem Push ein Review über den gesamten Diff der Blur-Übergang-Serie
 - ✅ **Getestet:** 3 neue Widget-Tests (RED→GREEN, je einer pro Stelle),
   volle Suite (590 Tests) grün, `flutter analyze` ohne Befund.
 
+### 🐛 Cloud-Kontingent-Fix aus dem Task-Review (2026-08-29)
+
+- 🔁 **`BakaAuth.abmelden()` setzt jetzt auch `verbleibend` zurück.**
+  Referenzmuster `GastZugang.verwerfen()` setzt `_verbleibend = null` mit,
+  `abmelden()` tat das bisher nicht — nur `_token`/`_benutzer` wurden
+  zurückgesetzt. Meldet sich ein Cloud-User ab und ein ANDERER Cloud-User
+  (Dustin/Baka/Tinker) danach an, wäre sonst bis zum nächsten Download der
+  alte Kontingent-Stand des vorherigen Accounts sichtbar geblieben.
+  Aktuell folgenlos (da `verbleibend` bis zum Server-Rollout ohnehin immer
+  `null` ist), aber ein latenter Bug, der beim Server-Rollout live
+  gegangen wäre. (`lib/services/baka_auth.dart`)
+- ✅ **Getestet (RED→GREEN):** neuer Test „Abmelden setzt auch den
+  Kontingent-Stand zurück" in `test/services/baka_auth_test.dart`. Volle
+  Suite grün, `flutter analyze` ohne Befund.
+
+### ☁️ Cloud-Account-Kontingent: App-Seite für das 100/Tag-Limit (2026-08-29)
+
+- ⚠️ **Reine App-Seite, ohne Wirkung bis der Server mitzieht.** Die
+  Server-Zählung (`cloud_quota`, 100/Tag je Nutzername) in `yt_proxy.py`
+  ist NICHT Teil dieser Änderung — das macht die `claude-server`-Session
+  separat (siehe Nachtrag "100/Tag-Limit auch für Cloud-Accounts" in
+  `docs/superpowers/specs/2026-08-26-youtube-guest-quota-design.md`). Bis
+  der Server das neue Feld `cloud_remaining` liefert, bleibt
+  `auth.verbleibend` einfach `null` — kein Fehler, kein sichtbarer
+  Unterschied zu heute.
+- 🔢 **`BakaAuth` bekommt einen Kontingent-Stand** — analog zu
+  `GastZugang.verbleibend`/`.merkeVerbleibend(n)`: neues Feld `int?
+  verbleibend` (Getter) und `void merkeVerbleibend(int n)`
+  (`lib/services/baka_auth.dart`).
+- 🔌 **`YtDownloadService.herunterladen()` liest `cloud_remaining`** aus
+  einer erfolgreichen `POST /api/yt-dl`-Antwort und ruft bei
+  Cloud-Zugriff (`!gastAktiv`) `auth.merkeVerbleibend(...)` auf — genau
+  wie beim bestehenden `guest_remaining`/`gast.merkeVerbleibend(...)`
+  fürs Gast-Kontingent, aber strikt getrennt (ein Gast-Zugriff liest das
+  Feld nie, ein Cloud-Zugriff nie `guest_remaining`).
+  (`lib/services/yt_download_service.dart`)
+- 📟 **Angemeldete Cloud-Accounts sehen jetzt „Noch N von 100 heute“**,
+  sobald der Server den Stand gemeldet hat — an vergleichbarer Stelle wie
+  der bestehende Gast-Zähler, aber nur bei `auth.istAngemeldet` (Gäste
+  haben weiter ihren eigenen Text, beide schließen sich gegenseitig aus).
+  (`lib/downloads/downloads_screen.dart`,
+  `lib/downloads/youtube_search_screen.dart`)
+- ✅ **Getestet (TDD, RED→GREEN):** `merkeVerbleibend` in
+  `test/services/baka_auth_test.dart`; Erfolgsfall mit `cloud_remaining`
+  plus eine Trennschärfe-Gegenprobe (Gast-Zugriff liest `cloud_remaining`
+  nie, selbst wenn es im Body steht) in
+  `test/services/yt_download_test.dart`; je ein Widget-Test für den neuen
+  „Noch N von 100 heute“-Text in `test/downloads/online_screen_test.dart`
+  und `test/downloads/youtube_search_screen_test.dart`. Volle Suite
+  grün, `flutter analyze` ohne Befund.
+
+### 🐛 Gast-Zugang: Fixe aus dem Branch-Abschluss-Review (2026-08-26)
+
+- 🔓 **Gast-Modus war eine Einbahnstraße.** Einmal "Als Gast fortfahren"
+  angetippt, blieb `gast.hatToken` dauerhaft `true` (Token steckt im
+  Secure Storage, wird bei jedem App-Start wiederhergestellt) — und damit
+  war `_AnmeldeDialog`, der EINZIGE Einstieg in der App für die
+  Baka-Anmeldung (auch für den Melo-Cloud-Sync-Login!), unerreichbar.
+  Neu: `GastZugang.verwerfen()` verwirft den Token wieder, und ein
+  "Anmelden"-Knopf neben der Gast-Statuszeile (Download-Tab und
+  YT-Suche-Tab) ruft ihn auf.
+- 🔀 **Ein alter Gast-Token hat den Auto-Login-Rückfallweg für
+  Server-User verdeckt.** `zugriffOk` prüfte bisher den rohen
+  `gast.hatToken` statt `istGastModus` — ein Gerät, das früher mal als
+  Gast lief und jetzt als Server-User mit fehlgeschlagenem Auto-Login
+  dasteht, bekam die Fehlermeldung dazu nie zu sehen und lud still über
+  den (limitierten) Gast-Pfad. `istGastModus` wird jetzt vor `zugriffOk`
+  berechnet und dort statt des rohen Tokens verwendet.
+  (`lib/downloads/downloads_screen.dart`,
+  `lib/downloads/youtube_search_screen.dart`)
+- ⏱️ **Doppel-Tap auf "Als Gast fortfahren" konnte zwei Anfragen
+  gleichzeitig auslösen.** Beide Screens sperren den Button jetzt während
+  `holeToken()` läuft (`_gastLaeuft`).
+- 📝 **Widersprüchlicher Hinweistext im YT-Suche-Tab behoben** — der Text
+  über dem Gast-Button verlangte fälschlich eine Baka-Anmeldung.
+- ⚠️ **CHANGELOG ergänzt:** der Abschnitt zum Gast-Zugang unten macht jetzt
+  klar, dass die Server-Seite (`POST /api/guest-token`) noch fehlt.
+- ✅ **Getestet:** 2 neue Regressionstests fürs "Anmelden"-Escape-Hatch
+  (`test/downloads/online_screen_test.dart`,
+  `test/downloads/youtube_search_screen_test.dart`), 2 bestehende Gast-Tests
+  im YT-Suche-Tab jetzt mit echtem `gast:`-Wiring in
+  `YtSearchService`/`YtDownloadService`. Volle Suite grün, `flutter
+  analyze` ohne Befund.
+
+### 📺👤 YouTube-Gast-Zugang: bewusste Wahl + Tages-Zähler (Download-Tab + YT-Suche-Tab) (2026-08-26)
+
+- ⚠️ **Braucht noch die Server-Seite.** Der neue Endpunkt `POST
+  /api/guest-token` und die Quota-Logik in `yt_proxy.py` existieren noch
+  nicht (separates Vorhaben, siehe
+  `docs/superpowers/specs/2026-08-26-youtube-guest-quota-design.md`). Bis
+  die Server-Seite steht, liefert der "Als Gast fortfahren"-Button
+  zuverlässig einen 404-Fehler.
+- 👤 **Echte Gäste (kein Baka-Konto, kein Melo-Server) sehen jetzt zwei
+  Buttons** statt nur der Anmeldung: "Beim Baka-Konto anmelden" und neu
+  "Als Gast fortfahren (5 Downloads/Tag)". Der Gast-Button holt sich per
+  `GastZugang.holeToken()` (aus Task 1-4 dieser Reihe) einen anonymen
+  Token vom Proxy und schaltet damit den Downloader frei — ganz ohne
+  Konto. Schlägt das Holen fehl, erscheint der Fehlertext direkt unter
+  dem Button.
+- 🔢 **Im Gast-Modus zeigt eine Statuszeile "Als Gast unterwegs — noch N
+  von 5 heute"**, sobald der Server den Kontingent-Stand gemeldet hat
+  (vorher nur der generische Hinweistext "5 Downloads/Tag"). Der
+  Cookie-Schalter ("YouTube-Cookies des Servers verwenden") ist im
+  Gast-Modus ausgeblendet — der Server erzwingt für Gast-Zugriffe ohnehin
+  `cookies=false`, ein sichtbarer Schalter hätte nur eine Wahl vorgetäuscht,
+  die es nicht gibt.
+- 🐛 **Nebenbefund durchs Qualitäts-Gate:** `_YouTubeBereich.build()`
+  beobachtet jetzt `GastZugang` app-weit über den Provider-Baum. Zwei
+  Tests (`hauptmenue_test.dart`, `home_shell_test.dart`) bauen ihren
+  eigenen Provider-Baum nach, statt `main.dart` zu importieren, und
+  hatten `GastZugang` dort noch nicht — beide entsprechend ergänzt (analog
+  zum bestehenden Muster für `BakaAuth`/`YtDownloadService`).
+- 📺 **YT-Suche-Tab bekommt denselben Gast-Button und -Zähler** wie der
+  Download-Tab. Das alte "Baka-Anmeldung (siehe Download-Tab)" Hint für
+  Gäste ist weg — echte Gäste in `lib/downloads/youtube_search_screen.dart`
+  sehen jetzt "Als Gast fortfahren (5 Downloads/Tag)" und die Status-Zeile
+  "Als Gast unterwegs — noch N von 5 heute", genauso wie im Download-Tab.
+- ✅ **Getestet:** volle Suite grün (600 Tests), `flutter analyze` ohne
+  Befund. 3 neue Widget-Tests in
+  `test/downloads/online_screen_test.dart`: beide Buttons sichtbar,
+  Gast-Token-Erfolg schaltet das Adressfeld frei, Gast-Token-Fehler wird
+  angezeigt.
+
 ### 📺🔑 YouTube-Tab: Server-User brauchen keine eigene Baka-Anmeldung mehr (2026-08-26)
 
 - 🔑 **Server-User (Dustin, Baka, Tinker) sehen den Baka-Anmelde-Schritt nicht

LOGIN_STAND.md

@@ -0,0 +1,111 @@
+# Login-Analyse — Stand 2026-08-30 (Melo pausiert als Nebenprojekt)
+
+Dieses Dokument sichert den Stand der Login-Bug-Analyse, bevor die
+Melo-Session geschlossen wird. Melo ist pausiert — das hier ist der
+Übergabe-Stand für den nächsten Anlauf.
+
+## Ausgangslage
+
+Auftrag: Auto-Anmeldung + manuelle Baka-Anmeldung schlugen in der App fehl,
+obwohl die Server-Seite (baka_auth) laut Login-API-Tests für `baka` und
+`tinker` einwandfrei lief. Vorgabe: Server ist nicht das Problem, den Bug in
+der APP finden + fixen.
+
+## Ergebnis: Der Bug war NICHT in der App
+
+Vollständige Prüfung des App-Codes ergab keinen Fehler:
+
+- `lib/services/baka_auth.dart`, `lib/services/gast_zugang.dart`,
+  `lib/downloads/downloads_screen.dart`, `lib/downloads/youtube_search_screen.dart`
+  gelesen und nachvollzogen — Logik korrekt.
+- Beide **früher bereits gefundenen** Login-Bugs sind längst im `main`-Branch
+  gemergt und aktuell vorhanden:
+  - Race Condition beim Auto-Login (`_laufenderAutoLogin` in `baka_auth.dart`)
+    — Commit `609ca37edeb`.
+  - Manuelle Anmeldung schreibt das neue Passwort dauerhaft in
+    `NavidromeService` zurück (`_AnmeldeDialogState._anmelden()`) —
+    Commit `196303145a3`.
+- 39 relevante Unit-/Widget-Tests grün (`baka_auth_test.dart`,
+  `gast_zugang_test.dart`, `online_screen_test.dart`).
+- Echter Server-Endpoint `https://baka-net.de/auth/login` direkt per `curl`
+  getestet (von diesem Server aus, der zugleich `baka-net.de` selbst ist) —
+  Response-Format entspricht exakt dem, was der App-Code erwartet.
+- DNS/TLS/Netzwerk/AndroidManifest: kein Problem gefunden.
+
+## Tatsächlicher Root Cause: Server-Bug (behoben)
+
+`/home/dustin/scripts/baka_auth.py` (**außerhalb des App-Repos**, kein Git,
+Produktions-Auth-Server für baka-net.de/auth):
+
+`handle_login()` verglich den Benutzernamen **case-sensitiv**
+(`WHERE username=?`), während jede andere Stelle im selben System
+(`handle_whoami`, `nd_sync` und `baka_auth_sync` in `sso_sync.py`) bewusst
+**case-insensitiv** vergleicht. Die App sendet die Schreibweise aus den
+gespeicherten Navidrome-Zugangsdaten — weicht die auch nur in
+Groß-/Kleinschreibung von der in `baka_auth.db` gespeicherten Schreibweise ab
+(z. B. durch den SSO-Sync von Authentik), meldet der Server "Falscher
+Benutzer", obwohl Konto und Passwort stimmen. Das erklärt exakt das Muster:
+Server-Tests mit exakt passender Schreibweise liefen grün, echte
+App-Logins (Auto- **und** manuelle Anmeldung) schlugen fehl.
+
+Dieser Bug war bereits am 29.08. von einer früheren Session an Hermes
+gemeldet worden (siehe Session `618ae854-...`, Deep-Investigation-Agent),
+aber nie umgesetzt — die Datei war bis zum Fix unverändert seit dem 20.08.
+
+**Fix (2026-08-30, mit Dustins Freigabe):**
+- `handle_login()` in `baka_auth.py`: Abfrage jetzt
+  `WHERE lower(username)=lower(?)`, konsistent mit dem Rest des Systems.
+  Kanonischer Username aus der DB-Zeile wird danach für Session/`last_login`
+  weiterverwendet (Indizes im Ergebnis-Tuple entsprechend angepasst).
+- Backup vor der Änderung: `/home/dustin/scripts/baka_auth.py.bak-20260830-221410`.
+- `baka-auth.service` neu gestartet (`sudo systemctl restart baka-auth.service`).
+- Health-Check (`/auth/health`) und Login-Endpoint (mit unbekanntem User,
+  liefert weiterhin korrekt "Falscher Benutzer") danach verifiziert.
+
+## Offener Punkt — als Nächstes prüfen
+
+**Die tatsächliche Wirkung des Fixes wurde noch NICHT mit echten
+Zugangsdaten auf einem echten Gerät bestätigt.** Direkter Zugriff auf
+`baka_auth.db` (sqlite3) war in dieser Session durch den
+Berechtigungs-Classifier blockiert — die genaue gespeicherte Schreibweise
+für `baka`/`tinker` konnte daher nicht verifiziert werden. Der Fix selbst
+ist unabhängig davon korrekt (er wendet nur die im System bereits etablierte
+Konvention konsequent auch auf `handle_login` an), aber der praktische Beweis
+fehlt noch.
+
+**Nächster Schritt:** Dustin, Baka oder Tinker sollten die App (Auto-Login
+beim Start, danach zur Sicherheit auch die manuelle Anmeldung im
+"YouTube"-Tab) einmal real testen. Falls es weiterhin fehlschlägt:
+1. `journalctl -u baka-auth.service -n 50` auf die konkrete Fehlermeldung
+   prüfen.
+2. Prüfen, ob eine Login-Sperre aktiv ist (5 Fehlversuche → 15 Min. Sperre,
+   `_login_erlaubt`/`_login_fehler` in `baka_auth.py`) — die frühere
+   Investigation vermutete, dass wiederholte Auto-Login-Versuche mit falscher
+   Schreibweise genau das ausgelöst haben könnten.
+3. Falls weiterhin ein Mismatch vermutet wird: `sso_sync.py` prüfen, ob
+   `baka_auth_sync()` beim Anlegen eines neuen Users die vom Aufrufer
+   übergebene Schreibweise 1:1 übernimmt (`INSERT ... VALUES(?,...)` mit dem
+   Original-`username`-Parameter) — das ist die einzige Stelle, an der die
+   in `baka_auth.db` gespeicherte Schreibweise ursprünglich entsteht.
+
+## Nebenbefund — geringes Risiko, nicht angefasst
+
+Der Rate-Limit-Schlüssel für Login-Sperren (`_login_erlaubt`/`_login_fehler`
+in `baka_auth.py`) verwendet weiterhin die **rohe, ungenormte** Eingabe
+(`body.get('username', '?')`), nicht den kanonischen Namen. Bei
+unterschiedlicher Groß-/Kleinschreibung über mehrere Login-Versuche hinweg
+zählt das Rate-Limit dadurch potenziell inkonsistent (mehrere Zähler pro
+echtem Nutzer statt einem). Kein Sicherheitsproblem, nur Ungenauigkeit —
+absichtlich nicht mitgefixt, um die Änderung minimal zu halten.
+
+## Für die nächste Session
+
+- Dieser Fix betrifft **kein App-Repo** — es gibt keinen App-Commit dazu,
+  nur diese Datei hier als Doku. Die eigentliche Änderung liegt in
+  `/home/dustin/scripts/baka_auth.py` auf dem Server (kein Git-Tracking).
+- Hermes/Server-Seite sollte informiert werden, dass der am 29.08. gemeldete
+  Bug jetzt behoben ist (falls das nicht schon anderweitig passiert ist).
+- Volltext der ursprünglichen Root-Cause-Kette (Race Condition →
+  Passwort-Rückschreibung → getrennte Passwort-Speicher
+  Navidrome/baka_auth.db → Case-Sensitivity) steht im Transkript der Session
+  `618ae854-0a01-4321-af16-a3fef7ecbc7e` (`~/.claude/projects/-home-dustin-mello-dev/`).

docs/superpowers/specs/2026-08-26-youtube-guest-quota-design.md

@@ -50,17 +50,97 @@ vorbehalten.
 | Reset-Zeitpunkt | Kalendertag nach Server-Zeit (Aingrad), kein rollierendes 24h-Fenster |
 | Suche fürs Limit | Suche bleibt für Gäste unbegrenzt — nur `POST /api/yt-dl` zählt |
 | Cookies für Gäste | Nein — nur Cloud-Accounts bekommen Dustins YouTube-Cookies; der `cookies`-Parameter wird bei Gast-Token-Anfragen ignoriert |
+| Limit für Cloud-Accounts | **Nachtrag 2026-08-29:** 100 Downloads/Kalendertag je Nutzer (Dustin/Baka/Tinker je einzeln gezählt) — ersetzt das ursprüngliche „kein Limit". Grund: dieselbe Absicherung wie beim Gast-Limit, nur großzügiger, da Cloud-Accounts vertraute Nutzer mit Cookie-Zugriff sind. |
 
 ## Architektur
 
 Drei Zugangsklassen beim Proxy:
 
-1. **Cloud-Account** (`Authorization: Bearer <JWT>`, wie heute) — unbegrenzt,
+1. **Cloud-Account** (`Authorization: Bearer <JWT>`, wie heute) — **100
-   Cookies automatisch.
+   Downloads/Kalendertag je Nutzer** (Nachtrag 2026-08-29, ersetzt
+   „unbegrenzt"), Cookies automatisch, Suche unbegrenzt (wie bei Gästen).
 2. **Gast** (`X-Guest-Token: <token>`, neu) — 5 Downloads/Kalendertag,
    Suche unbegrenzt, keine Cookies.
 3. **Kein Zugang** — weder Bearer noch gültiger Gast-Token → 401 wie heute.
 
+## Nachtrag 2026-08-29: 100/Tag-Limit auch für Cloud-Accounts
+
+Dustin hat beim erneuten Durchsprechen der Architektur (nach den
+Login-Race-Fixes) bestätigt, dass auch Cloud-Accounts (Dustin, Baka,
+Tinker) ein Tages-Limit bekommen sollen — 100 statt der ursprünglich
+geplanten 5, aber nicht mehr unbegrenzt. Grund: dieselbe
+Missbrauchs-/Kosten-Absicherung wie beim Gast-Limit (YouTube-Rate-Limits,
+Serverlast), nur mit großzügigerem Kontingent, weil Cloud-Accounts
+vertraute, bekannte Nutzer sind und zusätzlich Cookie-Zugriff haben.
+
+**Übernommene Entscheidungen des Gast-Limits (analog, keine neue
+Diskussion nötig):** Reset zum Kalendertag (Server-Zeit), Suche zählt
+nicht, nur `POST /api/yt-dl` zählt, Klartext-429-Fehlermeldung ohne
+automatischen Retry.
+
+**Unterschied zum Gast-Limit:** Cloud-Accounts zählen **pro Nutzername**
+(aus dem verifizierten JWT), nicht pro Gerät/Token — ein Nutzer, der die
+App auf zwei Geräten installiert hat, teilt sich also ein gemeinsames
+Kontingent (folgerichtig, da derselbe Baka-Account).
+
+### Server-seitige Änderungen (zusätzlich zu den bestehenden Abschnitten oben — Hermes/`claude-server`-Worktree)
+
+- Neue Tabelle (oder Erweiterung von `guest_quota`, falls strukturell
+  identisch — Entscheidung liegt bei der Server-Session) analog zu
+  `guest_quota`, aber mit `username` statt `token` als Schlüssel:
+  ```sql
+  CREATE TABLE IF NOT EXISTS cloud_quota (
+      username TEXT PRIMARY KEY,
+      count INTEGER NOT NULL DEFAULT 0,
+      count_date TEXT NOT NULL
+  );
+  ```
+- `POST /api/yt-dl` bei Cloud-Zugriff (gültiger Bearer-JWT): dieselbe
+  Tageswechsel-Reset-Logik wie bei Gästen, aber Schlüssel = Nutzername aus
+  dem JWT. Bei `count >= 100` → `429` mit
+  `{"error": "Tages-Limit erreicht (100/Tag) — ab morgen wieder verfügbar", "cooldown": <Sekunden bis Mitternacht>}`.
+  Erfolgsantwort bekommt zusätzlich `"cloud_remaining": <int>` (nur bei
+  Cloud-Zugriff, analog zu `guest_remaining` bei Gästen — beide Felder
+  schließen sich gegenseitig aus, nie beide gleichzeitig gesetzt).
+- `GET /api/search` bleibt für Cloud-Accounts unverändert unbegrenzt (wie
+  für Gäste).
+
+### App-seitige Änderungen (diese Seite implementiere ich)
+
+- `BakaAuth` (`lib/services/baka_auth.dart`) bekommt — analog zu
+  `GastZugang.verbleibend`/`.merkeVerbleibend(n)` — ein neues Feld
+  `int? verbleibend` (Getter) und `void merkeVerbleibend(int n)`, das den
+  zuletzt vom Server gemeldeten Kontingent-Stand hält (nur fürs Anzeigen,
+  `null` vor dem ersten Download in dieser Session).
+- `YtDownloadService.herunterladen()` (`lib/services/yt_download_service.dart`):
+  liest nach einem erfolgreichen `POST /api/yt-dl` zusätzlich
+  `daten['cloud_remaining']` aus, und ruft bei `!gastAktiv` (also
+  Cloud-Zugriff) `auth.merkeVerbleibend(cloudRest)` auf — analog zur
+  bestehenden `gast!.merkeVerbleibend(gastRest)`-Zeile. Ein `429` läuft
+  bereits durch den bestehenden generischen `_fehlerText(antwort)`-Pfad
+  (kein neuer Fehlerfall nötig, der zeigt jeden Server-`error`-Text aus dem
+  200-fremden Statuscode an — funktioniert für 429 genauso wie für 401
+  außerhalb des Spezialfalls).
+- UI (`_YouTubeBereich` in `lib/downloads/downloads_screen.dart`,
+  `YoutubeSearchScreen` in `lib/downloads/youtube_search_screen.dart`):
+  zeigt analog zum bestehenden Gast-Text („Als Gast unterwegs — noch N von
+  5 heute") jetzt auch für angemeldete Cloud-Accounts einen Text „Noch N
+  von 100 heute", sobald `auth.verbleibend != null` — platziert an
+  vergleichbarer Stelle wie der Gast-Text, aber nur sichtbar wenn
+  `auth.istAngemeldet` (nicht für Gäste, die haben ihren eigenen Text).
+
+### Tests (Nachtrag)
+
+- **App:** `BakaAuth.merkeVerbleibend`, `YtDownloadService` liest
+  `cloud_remaining` bei Cloud-Zugriff (nicht bei Gast-Zugriff — die beiden
+  Felder dürfen sich nicht vermischen), Widget-Test für den neuen
+  „Noch N von 100 heute"-Text in beiden Bildschirmen.
+- **Server** (Hermes): analog zu den bestehenden Gast-Tests, plus ein Test,
+  der sicherstellt, dass Gast- und Cloud-Kontingente unabhängig
+  voneinander gezählt werden (ein Cloud-Login verbraucht kein
+  Gast-Kontingent und umgekehrt — sie sind ohnehin durch unterschiedliche
+  Auth-Wege getrennt, aber das schadet nicht, explizit zu testen).
+
 ## Server-seitige Komponenten
 
 **Betrifft `/home/dustin/scripts/yt_proxy.py` und ggf. `auth_common.py` —

lib/downloads/downloads_screen.dart

@@ -11,6 +11,7 @@ import '../player/audio_handler.dart';
 import '../services/baka_auth.dart';
 import '../services/media_store.dart';
 import '../services/download_service.dart';
+import '../services/gast_zugang.dart';
 import '../services/navidrome_service.dart';
 import '../services/server_neuheiten.dart';
 import '../services/yt_download_service.dart';
@@ -615,6 +616,12 @@ class _YouTubeBereichState extends State<_YouTubeBereich> {
   /// sichtbar, sonst käme so ein User nie mehr an den Dialog heran.
   bool _autoLoginFehlgeschlagen = false;
 
+  /// Fehlertext, falls das Holen des Gast-Tokens scheitert.
+  String? _gastFehler;
+
+  /// Verhindert Mehrfach-Anfragen bei schnellem Doppel-Antippen.
+  bool _gastLaeuft = false;
+
   @override
   void initState() {
     super.initState();
@@ -686,6 +693,21 @@ class _YouTubeBereichState extends State<_YouTubeBereich> {
     );
   }
 
+  Future<void> _alsGastFortfahren() async {
+    if (_gastLaeuft) return;
+    final gast = context.read<GastZugang>();
+    setState(() {
+      _gastFehler = null;
+      _gastLaeuft = true;
+    });
+    final fehler = await gast.holeToken();
+    if (!mounted) return;
+    setState(() {
+      _gastLaeuft = false;
+      if (fehler != null) _gastFehler = fehler;
+    });
+  }
+
   Future<void> _herunterladen() async {
     final dienst = context.read<YtDownloadService>();
     final lib = context.read<LibraryService>();
@@ -737,13 +759,17 @@ class _YouTubeBereichState extends State<_YouTubeBereich> {
   @override
   Widget build(BuildContext context) {
     final auth = context.watch<BakaAuth>();
+    final gast = context.watch<GastZugang>();
     final dienst = context.watch<YtDownloadService>();
     // Server-User gelten sofort als berechtigt — die Anmeldung passiert für
     // sie im Hintergrund (_pruefeServerUser). Nur wenn die automatische
     // Anmeldung nachweislich fehlgeschlagen ist, bleibt der manuelle Weg
     // als Rückfalloption sichtbar — sonst gäbe es keinen Weg mehr zurück.
-    final zugriffOk =
+    // Ein Gast-Token zählt ebenfalls als Zugang, nur mit Tages-Limit.
-        auth.istAngemeldet || (_serverUser && !_autoLoginFehlgeschlagen);
+    final istGastModus = !_serverUser && !auth.istAngemeldet && gast.hatToken;
+    final zugriffOk = auth.istAngemeldet ||
+        (_serverUser && !_autoLoginFehlgeschlagen) ||
+        istGastModus;
 
     return ListView(
       padding: const EdgeInsets.fromLTRB(16, 12, 16, 24),
@@ -770,8 +796,26 @@ class _YouTubeBereichState extends State<_YouTubeBereich> {
               onPressed: _anmelden,
             ),
           ),
-        ] else ...[
           if (!_serverUser) ...[
+            const SizedBox(height: 8),
+            SizedBox(
+              width: double.infinity,
+              height: MeloTheme.minTouchTarget + 4,
+              child: OutlinedButton.icon(
+                icon: const Icon(Icons.person_outline),
+                label: const Text('Als Gast fortfahren (5 Downloads/Tag)',
+                    style: TextStyle(fontSize: 16)),
+                onPressed: _gastLaeuft ? null : _alsGastFortfahren,
+              ),
+            ),
+            if (_gastFehler != null) ...[
+              const SizedBox(height: 8),
+              Text(_gastFehler!,
+                  style: const TextStyle(color: MeloTheme.red, fontSize: 13)),
+            ],
+          ],
+        ] else ...[
+          if (!_serverUser && auth.istAngemeldet) ...[
             Row(
               children: [
                 const Icon(Icons.verified_user, size: 18, color: MeloTheme.text3),
@@ -788,6 +832,42 @@ class _YouTubeBereichState extends State<_YouTubeBereich> {
             ),
             const SizedBox(height: 8),
           ],
+          if (auth.istAngemeldet && auth.verbleibend != null) ...[
+            Row(
+              children: [
+                const Icon(Icons.cloud_outlined, size: 18, color: MeloTheme.text3),
+                const SizedBox(width: 8),
+                Expanded(
+                  child: Text(
+                    'Noch ${auth.verbleibend} von 100 heute',
+                    style: const TextStyle(color: MeloTheme.text2, fontSize: 13),
+                  ),
+                ),
+              ],
+            ),
+            const SizedBox(height: 8),
+          ],
+          if (istGastModus) ...[
+            Row(
+              children: [
+                const Icon(Icons.person_outline, size: 18, color: MeloTheme.text3),
+                const SizedBox(width: 8),
+                Expanded(
+                  child: Text(
+                    gast.verbleibend == null
+                        ? 'Als Gast unterwegs (5 Downloads/Tag)'
+                        : 'Als Gast unterwegs — noch ${gast.verbleibend} von 5 heute',
+                    style: const TextStyle(color: MeloTheme.text2, fontSize: 13),
+                  ),
+                ),
+                TextButton(
+                  onPressed: gast.verwerfen,
+                  child: const Text('Anmelden'),
+                ),
+              ],
+            ),
+            const SizedBox(height: 8),
+          ],
           TextField(
             controller: _url,
             enabled: !dienst.laeuft,
@@ -799,6 +879,7 @@ class _YouTubeBereichState extends State<_YouTubeBereich> {
           ),
           const SizedBox(height: 12),
           _KategorieFeld(controller: _kategorie, aktiv: !dienst.laeuft),
+          if (!istGastModus)
             SwitchListTile(
               dense: true,
               contentPadding: EdgeInsets.zero,

lib/downloads/youtube_search_screen.dart

@@ -7,6 +7,7 @@ import '../library/database.dart';
 import '../library/library_service.dart';
 import '../services/baka_auth.dart';
 import '../services/download_service.dart';
+import '../services/gast_zugang.dart';
 import '../services/media_store.dart';
 import '../services/yt_download_service.dart';
 import '../services/yt_search_service.dart';
@@ -34,6 +35,12 @@ class _YoutubeSearchScreenState extends State<YoutubeSearchScreen> {
   /// Hinweis auf die manuelle Anmeldung (siehe Download-Tab) sichtbar.
   bool _autoLoginFehlgeschlagen = false;
 
+  /// Fehlertext, falls das Holen des Gast-Tokens scheitert.
+  String? _gastFehler;
+
+  /// Verhindert Mehrfach-Anfragen bei schnellem Doppel-Antippen.
+  bool _gastLaeuft = false;
+
   @override
   void initState() {
     super.initState();
@@ -51,6 +58,21 @@ class _YoutubeSearchScreenState extends State<YoutubeSearchScreen> {
     });
   }
 
+  Future<void> _alsGastFortfahren() async {
+    if (_gastLaeuft) return;
+    final gast = context.read<GastZugang>();
+    setState(() {
+      _gastFehler = null;
+      _gastLaeuft = true;
+    });
+    final fehler = await gast.holeToken();
+    if (!mounted) return;
+    setState(() {
+      _gastLaeuft = false;
+      if (fehler != null) _gastFehler = fehler;
+    });
+  }
+
   @override
   void dispose() {
     _query.dispose();
@@ -67,9 +89,12 @@ class _YoutubeSearchScreenState extends State<YoutubeSearchScreen> {
   @override
   Widget build(BuildContext context) {
     final auth = context.watch<BakaAuth>();
+    final gast = context.watch<GastZugang>();
     final suche = context.watch<YtSearchService>();
-    final zugriffOk =
+    final istGastModus = !_serverUser && !auth.istAngemeldet && gast.hatToken;
-        auth.istAngemeldet || (_serverUser && !_autoLoginFehlgeschlagen);
+    final zugriffOk = auth.istAngemeldet ||
+        (_serverUser && !_autoLoginFehlgeschlagen) ||
+        istGastModus;
 
     return SafeArea(
       child: Column(
@@ -97,13 +122,77 @@ class _YoutubeSearchScreenState extends State<YoutubeSearchScreen> {
               ],
             ),
           ),
-          if (!zugriffOk)
+          if (!zugriffOk) ...[
-            const Padding(
+            Padding(
-              padding: EdgeInsets.symmetric(horizontal: 16, vertical: 4),
+              padding: const EdgeInsets.symmetric(horizontal: 16, vertical: 4),
               child: Text(
-                'Die Suche läuft über den Baka-Server. Dafür brauchst du '
+                _serverUser
-                'deine Baka-Anmeldung (siehe Download-Tab).',
+                    ? 'Die Suche läuft über den Baka-Server. Dafür brauchst '
-                style: TextStyle(color: MeloTheme.text2, fontSize: 13),
+                        'du deine Baka-Anmeldung (siehe Download-Tab).'
+                    : 'Die Suche läuft über den Baka-Server. Melde dich mit '
+                        'deinem Baka-Konto an (siehe Download-Tab) oder '
+                        'nutze sie eingeschränkt als Gast.',
+                style: const TextStyle(color: MeloTheme.text2, fontSize: 13),
+              ),
+            ),
+            if (!_serverUser) ...[
+              Padding(
+                padding: const EdgeInsets.symmetric(horizontal: 16),
+                child: SizedBox(
+                  width: double.infinity,
+                  height: MeloTheme.minTouchTarget + 4,
+                  child: OutlinedButton.icon(
+                    icon: const Icon(Icons.person_outline),
+                    label: const Text('Als Gast fortfahren (5 Downloads/Tag)',
+                        style: TextStyle(fontSize: 16)),
+                    onPressed: _gastLaeuft ? null : _alsGastFortfahren,
+                  ),
+                ),
+              ),
+              if (_gastFehler != null)
+                Padding(
+                  padding:
+                      const EdgeInsets.symmetric(horizontal: 16, vertical: 4),
+                  child: Text(_gastFehler!,
+                      style:
+                          const TextStyle(color: MeloTheme.red, fontSize: 13)),
+                ),
+            ],
+          ],
+          if (auth.istAngemeldet && auth.verbleibend != null)
+            Padding(
+              padding: const EdgeInsets.symmetric(horizontal: 16, vertical: 4),
+              child: Row(
+                children: [
+                  const Icon(Icons.cloud_outlined, size: 18, color: MeloTheme.text3),
+                  const SizedBox(width: 8),
+                  Expanded(
+                    child: Text(
+                      'Noch ${auth.verbleibend} von 100 heute',
+                      style: const TextStyle(color: MeloTheme.text2, fontSize: 13),
+                    ),
+                  ),
+                ],
+              ),
+            ),
+          if (istGastModus)
+            Padding(
+              padding: const EdgeInsets.symmetric(horizontal: 16, vertical: 4),
+              child: Row(
+                children: [
+                  Expanded(
+                    child: Text(
+                      gast.verbleibend == null
+                          ? 'Als Gast unterwegs (5 Downloads/Tag)'
+                          : 'Als Gast unterwegs — noch ${gast.verbleibend} von 5 heute',
+                      style: const TextStyle(color: MeloTheme.text2, fontSize: 13),
+                    ),
+                  ),
+                  TextButton(
+                    onPressed: gast.verwerfen,
+                    child: const Text('Anmelden'),
+                  ),
+                ],
               ),
             ),
           if (suche.laeuft) const LinearProgressIndicator(),

lib/main.dart

@@ -26,6 +26,7 @@ import 'services/baka_auth.dart';
 import 'services/logger_service.dart';
 import 'services/download_service.dart';
 import 'services/geteilte_adresse.dart';
+import 'services/gast_zugang.dart';
 import 'services/melo_cloud_service.dart';
 import 'services/offline_mode.dart';
 import 'services/navidrome_service.dart';
@@ -44,6 +45,7 @@ late final CategoryService _categories;
 late final AppSettings _settings;
 late final AudioEffects _effects;
 late final BakaAuth _bakaAuth;
+late final GastZugang _gastZugang;
 late final YtDownloadService _ytDownload;
 late final YtSearchService _ytSearch;
 late final SyncService _sync;
@@ -79,8 +81,10 @@ Future<void> main() async {
   await _effects.init();
   _bakaAuth = BakaAuth();
   await _bakaAuth.laden();
-  _ytDownload = YtDownloadService(auth: _bakaAuth);
+  _gastZugang = GastZugang();
-  _ytSearch = YtSearchService(auth: _bakaAuth);
+  await _gastZugang.laden();
+  _ytDownload = YtDownloadService(auth: _bakaAuth, gast: _gastZugang);
+  _ytSearch = YtSearchService(auth: _bakaAuth, gast: _gastZugang);
   _sync = SyncService(
     db: _db,
     cloud: MeloCloudService(auth: _bakaAuth),
@@ -157,6 +161,7 @@ class _MeloAppState extends State<MeloApp> with TickerProviderStateMixin {
         ChangeNotifierProvider<AppSettings>.value(value: _settings),
         ChangeNotifierProvider<AudioEffects>.value(value: _effects),
         ChangeNotifierProvider<BakaAuth>.value(value: _bakaAuth),
+        ChangeNotifierProvider<GastZugang>.value(value: _gastZugang),
         ChangeNotifierProvider<YtDownloadService>.value(value: _ytDownload),
         ChangeNotifierProvider<YtSearchService>.value(value: _ytSearch),
         ChangeNotifierProvider<SyncService>.value(value: _sync),

lib/services/baka_auth.dart

@@ -47,6 +47,7 @@ class BakaAuth extends ChangeNotifier {
 
   String? _token;
   String _benutzer = '';
+  int? _verbleibend;
 
   /// Laufender Login-Versuch aus [autoAnmelden] — solange er offen ist,
   /// hängt sich ein überlappender Aufruf daran statt einen zweiten
@@ -61,6 +62,11 @@ class BakaAuth extends ChangeNotifier {
   bool get istAngemeldet => _token != null && _token!.isNotEmpty;
   String get benutzer => _benutzer;
 
+  /// Zuletzt vom Server gemeldeter Kontingent-Stand (100/Tag) — nur fürs
+  /// Anzeigen, die Wahrheit bleibt beim Server. `null` vor dem ersten
+  /// Download in dieser Session.
+  int? get verbleibend => _verbleibend;
+
   /// Header für Anfragen an den Proxy. Ohne Anmeldung ohne `Authorization`.
   Map<String, String> get authHeader => {
         if (istAngemeldet) 'Authorization': 'Bearer $_token',
@@ -131,9 +137,16 @@ class BakaAuth extends ChangeNotifier {
     }
   }
 
+  /// Übernimmt den zuletzt vom Server gemeldeten Kontingent-Stand.
+  void merkeVerbleibend(int n) {
+    _verbleibend = n;
+    notifyListeners();
+  }
+
   Future<void> abmelden() async {
     _token = null;
     _benutzer = '';
+    _verbleibend = null;
     await _speicher.loeschen(_tokenKey);
     await _speicher.loeschen(_userKey);
     notifyListeners();

lib/services/gast_zugang.dart

@@ -0,0 +1,93 @@
+import 'dart:convert';
+
+import 'package:flutter/foundation.dart';
+import 'package:http/http.dart' as http;
+
+import 'baka_auth.dart' show TokenSpeicher, SicherenSpeicher;
+import 'yt_download_service.dart';
+
+/// Anonymer Gast-Zugang zum YouTube-Proxy: kein Passwort, aber mit
+/// serverseitig durchgesetztem Tages-Limit (der Proxy zählt und meldet den
+/// Stand über `guest_remaining` in der yt-dl-Antwort zurück). Ergänzt
+/// [BakaAuth]/`baka_auth.dart`, ersetzt es nicht.
+class GastZugang extends ChangeNotifier {
+  GastZugang({http.Client? client, TokenSpeicher? speicher})
+      : _client = client ?? http.Client(),
+        _speicher = speicher ?? const SicherenSpeicher();
+
+  static const proxyUrl = YtDownloadService.proxyUrl;
+  static const _tokenKey = 'guest_token';
+
+  final http.Client _client;
+  final TokenSpeicher _speicher;
+
+  String? _token;
+  int? _verbleibend;
+
+  bool get hatToken => _token != null && _token!.isNotEmpty;
+
+  /// Zuletzt vom Server gemeldeter Kontingent-Stand — nur fürs Anzeigen,
+  /// die Wahrheit bleibt beim Server. `null` vor dem ersten Download.
+  int? get verbleibend => _verbleibend;
+
+  /// Header für Anfragen an den Proxy. Ohne Token leer.
+  Map<String, String> get gastHeader =>
+      {if (hatToken) 'X-Guest-Token': _token!};
+
+  /// Stellt einen früher geholten Gast-Token wieder her (App-Start).
+  Future<void> laden() async {
+    _token = await _speicher.lesen(_tokenKey);
+    notifyListeners();
+  }
+
+  /// Holt einen neuen Gast-Token vom Proxy. Gibt `null` bei Erfolg zurück,
+  /// sonst den Fehlertext.
+  Future<String?> holeToken() async {
+    final http.Response antwort;
+    try {
+      antwort = await _client
+          .post(Uri.parse('$proxyUrl/api/guest-token'))
+          .timeout(const Duration(seconds: 15));
+    } catch (e) {
+      debugPrint('Gast-Token nicht erreichbar: $e');
+      return 'Proxy nicht erreichbar';
+    }
+
+    if (antwort.statusCode != 200) {
+      return 'Gast-Zugang fehlgeschlagen (${antwort.statusCode})';
+    }
+
+    Map<String, dynamic> daten;
+    try {
+      daten = jsonDecode(antwort.body) as Map<String, dynamic>;
+    } catch (_) {
+      return 'Proxy antwortet unverständlich (${antwort.statusCode})';
+    }
+
+    final token = daten['guest_token'] as String?;
+    if (token == null || token.isEmpty) {
+      return 'Proxy hat keinen Gast-Token geliefert';
+    }
+    _token = token;
+    await _speicher.schreiben(_tokenKey, token);
+    notifyListeners();
+    return null;
+  }
+
+  /// Übernimmt den zuletzt vom Server gemeldeten Kontingent-Stand.
+  void merkeVerbleibend(int n) {
+    _verbleibend = n;
+    notifyListeners();
+  }
+
+  /// Verwirft den Gast-Zugang wieder — nötig, damit ein Gast doch noch zum
+  /// Baka-Konto wechseln kann. Ohne das wäre `_AnmeldeDialog` (der einzige
+  /// Einstieg in der App für Baka-Login, auch für den Melo-Cloud-Sync)
+  /// dauerhaft unerreichbar, sobald einmal ein Gast-Token besteht.
+  Future<void> verwerfen() async {
+    _token = null;
+    _verbleibend = null;
+    await _speicher.loeschen(_tokenKey);
+    notifyListeners();
+  }
+}

lib/services/yt_download_service.dart

@@ -6,6 +6,7 @@ import 'package:flutter/foundation.dart';
 import 'package:http/http.dart' as http;
 
 import 'baka_auth.dart';
+import 'gast_zugang.dart';
 
 /// Entfernt alles, was in einem Dateinamen Ärger macht.
 String sichererDateiname(String titel) =>
@@ -35,12 +36,13 @@ class YtErgebnis {
 /// Lädt Musik über den Baka-YouTube-Proxy herunter. Der Proxy erledigt die
 /// eigentliche Arbeit und liefert eine fertige MP3; die App speichert sie nur.
 class YtDownloadService extends ChangeNotifier {
-  YtDownloadService({required this.auth, http.Client? client})
+  YtDownloadService({required this.auth, this.gast, http.Client? client})
       : _client = client ?? http.Client();
 
   static const proxyUrl = 'https://yt.baka-net.de';
 
   final BakaAuth auth;
+  final GastZugang? gast;
   final http.Client _client;
 
   bool _laeuft = false;
@@ -95,7 +97,8 @@ class YtDownloadService extends ChangeNotifier {
     final abbruch = _abbruch = Completer<void>();
     notifyListeners();
 
-    if (!auth.istAngemeldet) {
+    final gastAktiv = !auth.istAngemeldet && (gast?.hatToken ?? false);
+    if (!auth.istAngemeldet && !gastAktiv) {
       _scheitere('Bitte zuerst beim Baka-Konto anmelden');
       return null;
     }
@@ -103,6 +106,7 @@ class YtDownloadService extends ChangeNotifier {
       _scheitere('Das ist keine YouTube-Adresse');
       return null;
     }
+    final zugangsHeader = gastAktiv ? gast!.gastHeader : auth.authHeader;
 
     // ─── 1/2: Proxy fragen — er lädt das Video und wandelt es um ───
     _melde('Proxy wird gefragt …');
@@ -113,7 +117,7 @@ class YtDownloadService extends ChangeNotifier {
             .post(
               Uri.parse('$proxyUrl/api/yt-dl'),
               headers: {
-                ...auth.authHeader,
+                ...zugangsHeader,
                 'Content-Type': 'application/json'
               },
               body: jsonEncode({'url': url, 'cookies': cookies}),
@@ -137,7 +141,10 @@ class YtDownloadService extends ChangeNotifier {
     }
 
     if (antwort.statusCode == 401) {
-      _scheitere('Anmeldung abgelaufen — bitte neu anmelden');
+      if (gastAktiv) unawaited(gast!.holeToken());
+      _scheitere(gastAktiv
+          ? 'Gast-Zugang abgelaufen — bitte erneut versuchen'
+          : 'Anmeldung abgelaufen — bitte neu anmelden');
       return null;
     }
     if (antwort.statusCode != 200) {
@@ -149,6 +156,14 @@ class YtDownloadService extends ChangeNotifier {
     final titel = daten['titel'] as String? ?? 'Unbekannt';
     final dauer = (daten['dauer'] as int?) ?? 0;
     final mp3Url = daten['mp3_url'] as String? ?? '/api/dl/audio.mp3';
+    final gastRest = daten['guest_remaining'] as int?;
+    if (gastAktiv && gastRest != null) {
+      gast!.merkeVerbleibend(gastRest);
+    }
+    final cloudRest = daten['cloud_remaining'] as int?;
+    if (!gastAktiv && cloudRest != null) {
+      auth.merkeVerbleibend(cloudRest);
+    }
 
     // ─── 2/2: fertige MP3 abholen und speichern ───
     _melde('Lade „$titel“ …');
@@ -161,7 +176,7 @@ class YtDownloadService extends ChangeNotifier {
     try {
       final mp3 = await _abbrechbar(
         _client
-            .get(Uri.parse('$proxyUrl$mp3Url'), headers: auth.authHeader)
+            .get(Uri.parse('$proxyUrl$mp3Url'), headers: zugangsHeader)
             .timeout(const Duration(seconds: 180)),
         abbruch,
       );

lib/services/yt_search_service.dart

@@ -5,6 +5,7 @@ import 'package:flutter/foundation.dart';
 import 'package:http/http.dart' as http;
 
 import 'baka_auth.dart';
+import 'gast_zugang.dart';
 import 'yt_download_service.dart';
 
 /// Ein Treffer der YouTube-Suche über den Baka-Proxy.
@@ -44,12 +45,13 @@ String? youtubeVideoId(String url) {
 /// Durchsucht YouTube über den Baka-Proxy (`/api/search`, yt-dlp-gestützt) —
 /// dieselbe Anmeldung wie [YtDownloadService].
 class YtSearchService extends ChangeNotifier {
-  YtSearchService({required this.auth, http.Client? client})
+  YtSearchService({required this.auth, this.gast, http.Client? client})
       : _client = client ?? http.Client();
 
   static const proxyUrl = YtDownloadService.proxyUrl;
 
   final BakaAuth auth;
+  final GastZugang? gast;
   final http.Client _client;
 
   bool _laeuft = false;
@@ -64,7 +66,8 @@ class YtSearchService extends ChangeNotifier {
     final q = query.trim();
     if (q.isEmpty) return;
 
-    if (!auth.istAngemeldet) {
+    final gastAktiv = !auth.istAngemeldet && (gast?.hatToken ?? false);
+    if (!auth.istAngemeldet && !gastAktiv) {
       _treffer = const [];
       _fehler = 'Bitte zuerst beim Baka-Konto anmelden';
       notifyListeners();
@@ -80,7 +83,7 @@ class YtSearchService extends ChangeNotifier {
     final http.Response antwort;
     try {
       antwort = await _client
-          .get(uri, headers: auth.authHeader)
+          .get(uri, headers: gastAktiv ? gast!.gastHeader : auth.authHeader)
           .timeout(const Duration(seconds: 20));
     } on TimeoutException {
       _scheitere('Die Suche braucht zu lange — bitte später erneut versuchen');
@@ -92,7 +95,10 @@ class YtSearchService extends ChangeNotifier {
     }
 
     if (antwort.statusCode == 401) {
-      _scheitere('Anmeldung abgelaufen — bitte neu anmelden');
+      if (gastAktiv) unawaited(gast!.holeToken());
+      _scheitere(gastAktiv
+          ? 'Gast-Zugang abgelaufen — bitte erneut versuchen'
+          : 'Anmeldung abgelaufen — bitte neu anmelden');
       return;
     }
     if (antwort.statusCode != 200) {

test/downloads/online_screen_test.dart

@@ -11,6 +11,7 @@ import 'package:melo/library/category_service.dart';
 import 'package:melo/library/database.dart';
 import 'package:melo/services/baka_auth.dart';
 import 'package:melo/services/download_service.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/navidrome_service.dart';
 import 'package:melo/services/yt_download_service.dart';
 import 'package:provider/provider.dart';
@@ -29,7 +30,9 @@ class _MemorySpeicher implements TokenSpeicher {
 Widget _wrap(BakaAuth auth,
     {required MeloDb db,
     required CategoryService categories,
-    NavidromeService? navidrome}) {
+    NavidromeService? navidrome,
+    GastZugang? gast}) {
+  final gastZugang = gast ?? GastZugang();
   return MultiProvider(
     providers: [
       Provider<MeloDb>.value(value: db),
@@ -38,9 +41,11 @@ Widget _wrap(BakaAuth auth,
       // Aufräum-Timer von drift im Test-Rahmen hängen.
       ChangeNotifierProvider<CategoryService>.value(value: categories),
       ChangeNotifierProvider<BakaAuth>.value(value: auth),
+      ChangeNotifierProvider<GastZugang>.value(value: gastZugang),
       ChangeNotifierProvider<YtDownloadService>(
         create: (_) => YtDownloadService(
           auth: auth,
+          gast: gastZugang,
           client: MockClient((_) async => http.Response('', 500)),
         ),
       ),
@@ -301,6 +306,21 @@ void main() {
     expect(auth.istAngemeldet, isTrue);
   });
 
+  testWidgets(
+      'Angemeldeter Cloud-Account sieht das Kontingent nach einem Download',
+      (tester) async {
+    final auth = await _angemeldet();
+
+    await tester.pumpWidget(_wrap(auth, db: db, categories: categories));
+    await tester.pumpAndSettle();
+    expect(find.textContaining('von 100 heute'), findsNothing);
+
+    auth.merkeVerbleibend(63);
+    await tester.pump();
+
+    expect(find.text('Noch 63 von 100 heute'), findsOneWidget);
+  });
+
   testWidgets(
       'Server-User meldet sich im Hintergrund mit denselben Zugangsdaten '
       'beim Baka-Konto an', (tester) async {
@@ -323,4 +343,91 @@ void main() {
     expect(gesendeterBenutzer, 'Tinker');
     expect(auth.istAngemeldet, isTrue);
   });
+
+  testWidgets('Gast sieht zwei Buttons: Anmelden und Als Gast fortfahren',
+      (tester) async {
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+
+    await tester.pumpWidget(_wrap(auth, db: db, categories: categories));
+    await tester.pumpAndSettle();
+
+    expect(find.text('Beim Baka-Konto anmelden'), findsOneWidget);
+    expect(
+        find.text('Als Gast fortfahren (5 Downloads/Tag)'), findsOneWidget);
+    expect(find.text('YouTube-Adresse'), findsNothing);
+  });
+
+  testWidgets(
+      'Als Gast fortfahren holt einen Token und schaltet das Adressfeld frei',
+      (tester) async {
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    final gast = GastZugang(
+      client: MockClient((_) async =>
+          http.Response(jsonEncode({'guest_token': 'g-1'}), 200)),
+      speicher: _MemorySpeicher(),
+    );
+
+    await tester.pumpWidget(
+        _wrap(auth, db: db, categories: categories, gast: gast));
+    await tester.pumpAndSettle();
+
+    await tester.tap(find.text('Als Gast fortfahren (5 Downloads/Tag)'));
+    await tester.pumpAndSettle();
+
+    expect(find.text('YouTube-Adresse'), findsOneWidget);
+    expect(find.text('Als Gast unterwegs (5 Downloads/Tag)'), findsOneWidget);
+    expect(find.text('YouTube-Cookies des Servers verwenden'), findsNothing);
+  });
+
+  testWidgets('Fehler beim Gast-Token wird angezeigt', (tester) async {
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('', 500)),
+      speicher: _MemorySpeicher(),
+    );
+
+    await tester.pumpWidget(
+        _wrap(auth, db: db, categories: categories, gast: gast));
+    await tester.pumpAndSettle();
+
+    await tester.tap(find.text('Als Gast fortfahren (5 Downloads/Tag)'));
+    await tester.pumpAndSettle();
+
+    expect(find.text('Gast-Zugang fehlgeschlagen (500)'), findsOneWidget);
+    expect(find.text('YouTube-Adresse'), findsNothing);
+  });
+
+  testWidgets(
+      'Anmelden im Gast-Modus verwirft den Gast-Token und zeigt wieder die '
+      'Wahl', (tester) async {
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    final gast = GastZugang(
+      client: MockClient((_) async =>
+          http.Response(jsonEncode({'guest_token': 'g-1'}), 200)),
+      speicher: _MemorySpeicher(),
+    );
+
+    await tester.pumpWidget(
+        _wrap(auth, db: db, categories: categories, gast: gast));
+    await tester.pumpAndSettle();
+
+    await tester.tap(find.text('Als Gast fortfahren (5 Downloads/Tag)'));
+    await tester.pumpAndSettle();
+    expect(find.text('YouTube-Adresse'), findsOneWidget);
+
+    await tester.tap(find.text('Anmelden'));
+    await tester.pumpAndSettle();
+
+    expect(find.text('Beim Baka-Konto anmelden'), findsOneWidget);
+    expect(find.text('YouTube-Adresse'), findsNothing);
+    expect(gast.hatToken, isFalse);
+  });
 }

test/downloads/youtube_search_screen_test.dart

@@ -11,6 +11,7 @@ import 'package:melo/library/database.dart';
 import 'package:melo/library/library_service.dart';
 import 'package:melo/services/baka_auth.dart';
 import 'package:melo/services/download_service.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/navidrome_service.dart';
 import 'package:melo/services/yt_download_service.dart';
 import 'package:melo/services/yt_search_service.dart';
@@ -43,12 +44,14 @@ Widget _wrap({
   required YtSearchService search,
   required YtDownloadService download,
   NavidromeService? navidrome,
+  GastZugang? gast,
 }) {
   return MultiProvider(
     providers: [
       Provider<MeloDb>.value(value: db),
       ChangeNotifierProvider<LibraryService>.value(value: LibraryService(db)),
       ChangeNotifierProvider<BakaAuth>.value(value: auth),
+      ChangeNotifierProvider<GastZugang>.value(value: gast ?? GastZugang()),
       ChangeNotifierProvider<YtSearchService>.value(value: search),
       ChangeNotifierProvider<YtDownloadService>.value(value: download),
       // Nur für die Server-User-Prüfung gebraucht (siehe
@@ -89,7 +92,7 @@ void main() {
         db: db, auth: auth, search: search, download: download));
     await tester.pumpAndSettle();
 
-    expect(find.textContaining('Baka-Anmeldung'), findsOneWidget);
+    expect(find.textContaining('Baka-Server'), findsOneWidget);
     expect(find.text('Nach Musikvideos suchen'), findsOneWidget);
 
     await db.close();
@@ -173,6 +176,26 @@ void main() {
     await db.close();
   });
 
+  testWidgets('Angemeldeter Cloud-Account sieht das Kontingent nach Download',
+      (tester) async {
+    final db = MeloDb(NativeDatabase.memory());
+    final auth = await _angemeldeteAuth();
+    final search = YtSearchService(auth: auth);
+    final download = YtDownloadService(auth: auth);
+
+    await tester.pumpWidget(_wrap(
+        db: db, auth: auth, search: search, download: download));
+    await tester.pumpAndSettle();
+    expect(find.textContaining('von 100 heute'), findsNothing);
+
+    auth.merkeVerbleibend(98);
+    await tester.pump();
+
+    expect(find.text('Noch 98 von 100 heute'), findsOneWidget);
+
+    await db.close();
+  });
+
   // Kein Widget-Test für den Download-Knopf selbst: YtDownloadService.
   // herunterladen() kombiniert Future.any mit .timeout() — dessen Timer
   // bleibt unter Flutters fake_async-Testbindung immer als "pending" stehen
@@ -182,4 +205,86 @@ void main() {
   // _YouTubeBereich (downloads_screen.dart) keinen eigenen Widget-Test —
   // die Download-Logik selbst ist über yt_download_test.dart ausführlich
   // abgedeckt.
+
+  testWidgets('Gast sieht den Button "Als Gast fortfahren"', (tester) async {
+    final db = MeloDb(NativeDatabase.memory());
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('', 500)),
+      speicher: _MemorySpeicher(),
+    );
+    final search = YtSearchService(auth: auth, gast: gast);
+    final download = YtDownloadService(auth: auth, gast: gast);
+
+    await tester.pumpWidget(_wrap(
+        db: db, auth: auth, search: search, download: download, gast: gast));
+    await tester.pumpAndSettle();
+
+    expect(
+        find.text('Als Gast fortfahren (5 Downloads/Tag)'), findsOneWidget);
+
+    await db.close();
+  });
+
+  testWidgets(
+      'Als Gast fortfahren blendet den Baka-Hinweis aus und zeigt den Zähler',
+      (tester) async {
+    final db = MeloDb(NativeDatabase.memory());
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    final gast = GastZugang(
+      client: MockClient((_) async =>
+          http.Response(jsonEncode({'guest_token': 'g-1'}), 200)),
+      speicher: _MemorySpeicher(),
+    );
+    final search = YtSearchService(auth: auth, gast: gast);
+    final download = YtDownloadService(auth: auth, gast: gast);
+
+    await tester.pumpWidget(_wrap(
+        db: db, auth: auth, search: search, download: download, gast: gast));
+    await tester.pumpAndSettle();
+
+    await tester.tap(find.text('Als Gast fortfahren (5 Downloads/Tag)'));
+    await tester.pumpAndSettle();
+
+    expect(find.textContaining('Baka-Anmeldung'), findsNothing);
+    expect(find.text('Als Gast unterwegs (5 Downloads/Tag)'), findsOneWidget);
+
+    await db.close();
+  });
+
+  testWidgets(
+      'Anmelden im Gast-Modus verwirft den Gast-Token und zeigt wieder den '
+      'Hinweis', (tester) async {
+    final db = MeloDb(NativeDatabase.memory());
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    final search = YtSearchService(auth: auth);
+    final download = YtDownloadService(auth: auth);
+    final gast = GastZugang(
+      client: MockClient((_) async =>
+          http.Response(jsonEncode({'guest_token': 'g-1'}), 200)),
+      speicher: _MemorySpeicher(),
+    );
+
+    await tester.pumpWidget(_wrap(
+        db: db, auth: auth, search: search, download: download, gast: gast));
+    await tester.pumpAndSettle();
+
+    await tester.tap(find.text('Als Gast fortfahren (5 Downloads/Tag)'));
+    await tester.pumpAndSettle();
+    expect(find.text('Als Gast unterwegs (5 Downloads/Tag)'), findsOneWidget);
+
+    await tester.tap(find.text('Anmelden'));
+    await tester.pumpAndSettle();
+
+    expect(find.textContaining('Baka-Server'), findsOneWidget);
+    expect(gast.hatToken, isFalse);
+
+    await db.close();
+  });
 }

test/hauptmenue_test.dart

@@ -10,6 +10,7 @@ import 'package:melo/player/audio_handler.dart';
 import 'package:melo/player/player_expansion_controller.dart';
 import 'package:melo/services/baka_auth.dart';
 import 'package:melo/services/download_service.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/melo_cloud_service.dart';
 import 'package:melo/services/navidrome_service.dart';
 import 'package:melo/services/offline_mode.dart';
@@ -52,6 +53,7 @@ void main() {
   late YtSearchService ytSearch;
   late DownloadService downloads;
   late SyncService sync;
+  late GastZugang gast;
   MeloAudioHandler? handler;
   PlayerExpansionController? expansion;
 
@@ -64,8 +66,9 @@ void main() {
     auth = BakaAuth(speicher: _MemorySpeicher());
     einstellungen = AppSettings();
     offline = OfflineMode();
-    ytDownload = YtDownloadService(auth: auth);
+    gast = GastZugang();
-    ytSearch = YtSearchService(auth: auth);
+    ytDownload = YtDownloadService(auth: auth, gast: gast);
+    ytSearch = YtSearchService(auth: auth, gast: gast);
     downloads = DownloadService(db: db, navidrome: NavidromeService());
     sync = SyncService(db: db, cloud: MeloCloudService(auth: auth));
   });
@@ -101,6 +104,7 @@ void main() {
         ChangeNotifierProvider<AppSettings>.value(value: einstellungen),
         ChangeNotifierProvider<OfflineMode>.value(value: offline),
         ChangeNotifierProvider<BakaAuth>.value(value: auth),
+        ChangeNotifierProvider<GastZugang>.value(value: gast),
         ChangeNotifierProvider<YtDownloadService>.value(value: ytDownload),
         ChangeNotifierProvider<YtSearchService>.value(value: ytSearch),
         ChangeNotifierProvider<DownloadService>.value(value: downloads),

test/home_shell_test.dart

@@ -10,6 +10,7 @@ import 'package:melo/player/audio_handler.dart';
 import 'package:melo/player/player_expansion_controller.dart';
 import 'package:melo/services/baka_auth.dart';
 import 'package:melo/services/download_service.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/melo_cloud_service.dart';
 import 'package:melo/services/navidrome_service.dart';
 import 'package:melo/services/offline_mode.dart';
@@ -52,6 +53,7 @@ void main() {
         ChangeNotifierProvider<AppSettings>(create: (_) => AppSettings()),
         ChangeNotifierProvider<OfflineMode>(create: (_) => OfflineMode()),
         ChangeNotifierProvider<BakaAuth>(create: (_) => auth),
+        ChangeNotifierProvider<GastZugang>(create: (_) => GastZugang()),
         ChangeNotifierProvider<YtDownloadService>(
             create: (_) => YtDownloadService(auth: auth)),
         ChangeNotifierProvider<YtSearchService>(
@@ -97,6 +99,7 @@ void main() {
         ChangeNotifierProvider<AppSettings>(create: (_) => AppSettings()),
         ChangeNotifierProvider<OfflineMode>(create: (_) => OfflineMode()),
         ChangeNotifierProvider<BakaAuth>(create: (_) => auth),
+        ChangeNotifierProvider<GastZugang>(create: (_) => GastZugang()),
         ChangeNotifierProvider<YtDownloadService>(
             create: (_) => YtDownloadService(auth: auth)),
         ChangeNotifierProvider<YtSearchService>(

test/player/home_shell_real_expansion_test.dart

@@ -11,6 +11,7 @@ import 'package:melo/player/mini_player.dart';
 import 'package:melo/player/player_expansion_controller.dart';
 import 'package:melo/services/baka_auth.dart';
 import 'package:melo/services/download_service.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/melo_cloud_service.dart';
 import 'package:melo/services/navidrome_service.dart';
 import 'package:melo/services/offline_mode.dart';
@@ -56,6 +57,7 @@ void main() {
         ChangeNotifierProvider<AppSettings>(create: (_) => AppSettings()),
         ChangeNotifierProvider<OfflineMode>(create: (_) => OfflineMode()),
         ChangeNotifierProvider<BakaAuth>(create: (_) => auth),
+        ChangeNotifierProvider<GastZugang>(create: (_) => GastZugang()),
         ChangeNotifierProvider<YtDownloadService>(
             create: (_) => YtDownloadService(auth: auth)),
         ChangeNotifierProvider<YtSearchService>(
@@ -125,6 +127,7 @@ void main() {
         ChangeNotifierProvider<AppSettings>(create: (_) => AppSettings()),
         ChangeNotifierProvider<OfflineMode>(create: (_) => OfflineMode()),
         ChangeNotifierProvider<BakaAuth>(create: (_) => auth),
+        ChangeNotifierProvider<GastZugang>(create: (_) => GastZugang()),
         ChangeNotifierProvider<YtDownloadService>(
             create: (_) => YtDownloadService(auth: auth)),
         ChangeNotifierProvider<YtSearchService>(

test/player/provider_scope_navigator_push_test.dart

@@ -14,6 +14,7 @@ import 'package:melo/player/player_expansion_controller.dart';
 import 'package:melo/playlists/playlist_detail_screen.dart';
 import 'package:melo/services/baka_auth.dart';
 import 'package:melo/services/download_service.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/melo_cloud_service.dart';
 import 'package:melo/services/navidrome_service.dart';
 import 'package:melo/services/offline_mode.dart';
@@ -98,6 +99,7 @@ void main() {
         ChangeNotifierProvider<AppSettings>(create: (_) => AppSettings()),
         ChangeNotifierProvider<OfflineMode>(create: (_) => OfflineMode()),
         ChangeNotifierProvider<BakaAuth>(create: (_) => auth),
+        ChangeNotifierProvider<GastZugang>(create: (_) => GastZugang()),
         ChangeNotifierProvider<YtDownloadService>(
             create: (_) => YtDownloadService(auth: auth)),
         ChangeNotifierProvider<YtSearchService>(

test/services/baka_auth_test.dart

@@ -167,6 +167,34 @@ void main() {
     expect(auth.istAngemeldet, isFalse);
   });
 
+  test('merkeVerbleibend übernimmt den Kontingent-Stand und meldet Listener',
+      () async {
+    final auth = BakaAuth(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: _MemorySpeicher());
+    var benachrichtigt = 0;
+    auth.addListener(() => benachrichtigt++);
+
+    auth.merkeVerbleibend(37);
+
+    expect(auth.verbleibend, 37);
+    expect(benachrichtigt, 1);
+  });
+
+  test('Abmelden setzt auch den Kontingent-Stand zurück', () async {
+    final speicher = _MemorySpeicher();
+    final auth = BakaAuth(
+        client: MockClient(
+            (_) async => http.Response(jsonEncode({'token': 'jwt-abc'}), 200)),
+        speicher: speicher);
+    await auth.anmelden('Baka', 'geheim');
+    auth.merkeVerbleibend(42);
+
+    await auth.abmelden();
+
+    expect(auth.verbleibend, isNull);
+  });
+
   test('Abmelden löscht Token und Benutzer aus dem Speicher', () async {
     final speicher = _MemorySpeicher();
     final auth = BakaAuth(

test/services/gast_zugang_test.dart

@@ -0,0 +1,120 @@
+import 'dart:convert';
+
+import 'package:flutter_test/flutter_test.dart';
+import 'package:http/http.dart' as http;
+import 'package:http/testing.dart';
+import 'package:melo/services/baka_auth.dart';
+import 'package:melo/services/gast_zugang.dart';
+
+class _MemorySpeicher implements TokenSpeicher {
+  final Map<String, String> werte = {};
+  @override
+  Future<String?> lesen(String key) async => werte[key];
+  @override
+  Future<void> schreiben(String key, String wert) async => werte[key] = wert;
+  @override
+  Future<void> loeschen(String key) async => werte.remove(key);
+}
+
+void main() {
+  test('Ohne Token ist gastHeader leer', () {
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('', 500)),
+      speicher: _MemorySpeicher(),
+    );
+
+    expect(gast.hatToken, isFalse);
+    expect(gast.gastHeader, isEmpty);
+  });
+
+  test('holeToken() speichert den Token bei Erfolg', () async {
+    final speicher = _MemorySpeicher();
+    final gast = GastZugang(
+      client: MockClient(
+          (_) async => http.Response(jsonEncode({'guest_token': 'g-1'}), 200)),
+      speicher: speicher,
+    );
+
+    final fehler = await gast.holeToken();
+
+    expect(fehler, isNull);
+    expect(gast.hatToken, isTrue);
+    expect(gast.gastHeader, {'X-Guest-Token': 'g-1'});
+    expect(speicher.werte['guest_token'], 'g-1');
+  });
+
+  test('holeToken() meldet einen Fehler bei einer toten Verbindung',
+      () async {
+    final gast = GastZugang(
+      client: MockClient((_) async => throw Exception('down')),
+      speicher: _MemorySpeicher(),
+    );
+
+    final fehler = await gast.holeToken();
+
+    expect(fehler, 'Proxy nicht erreichbar');
+    expect(gast.hatToken, isFalse);
+  });
+
+  test('holeToken() meldet einen Fehler bei einem Server-Fehlerstatus',
+      () async {
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('', 500)),
+      speicher: _MemorySpeicher(),
+    );
+
+    final fehler = await gast.holeToken();
+
+    expect(fehler, 'Gast-Zugang fehlgeschlagen (500)');
+    expect(gast.hatToken, isFalse);
+  });
+
+  test('holeToken() meldet einen Fehler bei unlesbarer Antwort', () async {
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('nicht json', 200)),
+      speicher: _MemorySpeicher(),
+    );
+
+    final fehler = await gast.holeToken();
+
+    expect(fehler, 'Proxy antwortet unverständlich (200)');
+    expect(gast.hatToken, isFalse);
+  });
+
+  test('holeToken() meldet einen Fehler ohne guest_token-Feld', () async {
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response(jsonEncode({}), 200)),
+      speicher: _MemorySpeicher(),
+    );
+
+    final fehler = await gast.holeToken();
+
+    expect(fehler, 'Proxy hat keinen Gast-Token geliefert');
+    expect(gast.hatToken, isFalse);
+  });
+
+  test('laden() stellt einen gespeicherten Gast-Token wieder her', () async {
+    final speicher = _MemorySpeicher();
+    speicher.werte['guest_token'] = 'g-alt';
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('', 500)),
+      speicher: speicher,
+    );
+
+    await gast.laden();
+
+    expect(gast.hatToken, isTrue);
+    expect(gast.gastHeader, {'X-Guest-Token': 'g-alt'});
+  });
+
+  test('merkeVerbleibend übernimmt den zuletzt gemeldeten Stand', () {
+    final gast = GastZugang(
+      client: MockClient((_) async => http.Response('', 500)),
+      speicher: _MemorySpeicher(),
+    );
+
+    gast.merkeVerbleibend(3);
+
+    expect(gast.verbleibend, 3);
+  });
+}

test/services/yt_download_test.dart

@@ -6,6 +6,7 @@ import 'package:flutter_test/flutter_test.dart';
 import 'package:http/http.dart' as http;
 import 'package:http/testing.dart';
 import 'package:melo/services/baka_auth.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/yt_download_service.dart';
 
 class _MemorySpeicher implements TokenSpeicher {
@@ -284,4 +285,171 @@ void main() {
 
     expect((jsonDecode(auftrag!) as Map)['cookies'], isFalse);
   });
+
+  group('Gast-Zugang', () {
+    test('Mit Gast-Token statt Anmeldung wird der Proxy trotzdem gefragt',
+        () async {
+      final speicher = _MemorySpeicher();
+      speicher.werte['guest_token'] = 'gast-xyz';
+      final gast = GastZugang(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: speicher,
+      );
+      await gast.laden();
+
+      final dienst = YtDownloadService(
+        auth: BakaAuth(
+            client: MockClient((_) async => http.Response('', 500)),
+            speicher: _MemorySpeicher()),
+        gast: gast,
+        client: MockClient((req) async {
+          if (req.url.path == '/api/yt-dl') {
+            expect(req.headers['X-Guest-Token'], 'gast-xyz');
+            expect(req.headers.containsKey('Authorization'), isFalse);
+            return http.Response(
+                jsonEncode({
+                  'titel': 'Gast-Lied',
+                  'dauer': 30,
+                  'mp3_url': '/api/dl/g.mp3',
+                  'guest_remaining': 4,
+                }),
+                200);
+          }
+          return http.Response.bytes([1], 200);
+        }),
+      );
+
+      final ergebnis = await dienst.herunterladen('https://youtu.be/abc',
+          zielOrdner: ziel.path);
+
+      expect(ergebnis, isNotNull);
+      expect(gast.verbleibend, 4);
+    });
+
+    test('Ohne Anmeldung UND ohne Gast-Token wird gar nicht erst gefragt',
+        () async {
+      var aufrufe = 0;
+      final dienst = YtDownloadService(
+        auth: BakaAuth(
+            client: MockClient((_) async => http.Response('', 500)),
+            speicher: _MemorySpeicher()),
+        client: MockClient((_) async {
+          aufrufe++;
+          return http.Response('', 200);
+        }),
+      );
+
+      final ergebnis = await dienst.herunterladen('https://youtu.be/abc',
+          zielOrdner: ziel.path);
+
+      expect(ergebnis, isNull);
+      expect(dienst.fehler, 'Bitte zuerst beim Baka-Konto anmelden');
+      expect(aufrufe, 0);
+    });
+
+    test('401 bei Gast-Zugang holt automatisch einen neuen Gast-Token',
+        () async {
+      var tokenAufrufe = 0;
+      final speicher = _MemorySpeicher();
+      speicher.werte['guest_token'] = 'alter-token';
+      final gast = GastZugang(
+        client: MockClient((_) async {
+          tokenAufrufe++;
+          return http.Response(
+              jsonEncode({'guest_token': 'neuer-token'}), 200);
+        }),
+        speicher: speicher,
+      );
+      await gast.laden();
+
+      final dienst = YtDownloadService(
+        auth: BakaAuth(
+            client: MockClient((_) async => http.Response('', 500)),
+            speicher: _MemorySpeicher()),
+        gast: gast,
+        client: MockClient((_) async => http.Response('Unauthorized', 401)),
+      );
+
+      final ergebnis = await dienst.herunterladen('https://youtu.be/abc',
+          zielOrdner: ziel.path);
+      // Das Token-Nachholen läuft unawaited im Hintergrund.
+      await Future<void>.delayed(Duration.zero);
+
+      expect(ergebnis, isNull);
+      expect(dienst.fehler, 'Gast-Zugang abgelaufen — bitte erneut versuchen');
+      expect(tokenAufrufe, 1);
+    });
+  });
+
+  group('Cloud-Kontingent', () {
+    test('cloud_remaining aus der Erfolgsantwort landet in auth.verbleibend',
+        () async {
+      final auth = await _angemeldeteAuth();
+      final dienst = YtDownloadService(
+        auth: auth,
+        client: MockClient((req) async {
+          if (req.url.path == '/api/yt-dl') {
+            return http.Response(
+                jsonEncode({
+                  'titel': 'Cloud-Lied',
+                  'dauer': 30,
+                  'mp3_url': '/api/dl/c.mp3',
+                  'cloud_remaining': 99,
+                }),
+                200);
+          }
+          return http.Response.bytes([1], 200);
+        }),
+      );
+
+      final ergebnis = await dienst.herunterladen('https://youtu.be/abc',
+          zielOrdner: ziel.path);
+
+      expect(ergebnis, isNotNull);
+      expect(auth.verbleibend, 99);
+    });
+
+    test(
+        'Bei Gast-Zugriff wird cloud_remaining nicht gelesen, selbst wenn es '
+        'im Body steht', () async {
+      final speicher = _MemorySpeicher();
+      speicher.werte['guest_token'] = 'gast-xyz';
+      final gast = GastZugang(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: speicher,
+      );
+      await gast.laden();
+      final auth = BakaAuth(
+          client: MockClient((_) async => http.Response('', 500)),
+          speicher: _MemorySpeicher());
+
+      final dienst = YtDownloadService(
+        auth: auth,
+        gast: gast,
+        client: MockClient((req) async {
+          if (req.url.path == '/api/yt-dl') {
+            return http.Response(
+                jsonEncode({
+                  'titel': 'Gast-Lied',
+                  'dauer': 30,
+                  'mp3_url': '/api/dl/g.mp3',
+                  'guest_remaining': 4,
+                  // Sollte serverseitig nie gleichzeitig vorkommen, aber
+                  // falls doch: darf nicht in auth.verbleibend landen.
+                  'cloud_remaining': 77,
+                }),
+                200);
+          }
+          return http.Response.bytes([1], 200);
+        }),
+      );
+
+      final ergebnis = await dienst.herunterladen('https://youtu.be/abc',
+          zielOrdner: ziel.path);
+
+      expect(ergebnis, isNotNull);
+      expect(gast.verbleibend, 4);
+      expect(auth.verbleibend, isNull);
+    });
+  });
 }

test/services/yt_search_service_test.dart

@@ -5,6 +5,7 @@ import 'package:flutter_test/flutter_test.dart';
 import 'package:http/http.dart' as http;
 import 'package:http/testing.dart';
 import 'package:melo/services/baka_auth.dart';
+import 'package:melo/services/gast_zugang.dart';
 import 'package:melo/services/yt_search_service.dart';
 
 class _MemorySpeicher implements TokenSpeicher {
@@ -200,5 +201,61 @@ void main() {
       await dienst.suchen('zweite suche');
       expect(dienst.treffer.single.title, 'Zweites');
     });
+
+    test('Mit Gast-Token statt Anmeldung wird trotzdem gesucht', () async {
+      final speicher = _MemorySpeicher();
+      speicher.werte['guest_token'] = 'gast-xyz';
+      final gast = GastZugang(
+        client: MockClient((_) async => http.Response('', 500)),
+        speicher: speicher,
+      );
+      await gast.laden();
+
+      final dienst = YtSearchService(
+        auth: BakaAuth(
+            client: MockClient((_) async => http.Response('', 500)),
+            speicher: _MemorySpeicher()),
+        gast: gast,
+        client: MockClient((req) async {
+          expect(req.headers['X-Guest-Token'], 'gast-xyz');
+          expect(req.headers.containsKey('Authorization'), isFalse);
+          return http.Response('[]', 200);
+        }),
+      );
+
+      await dienst.suchen('roses');
+
+      expect(dienst.fehler, isNull);
+    });
+
+    test('401 bei Gast-Zugang holt automatisch einen neuen Gast-Token',
+        () async {
+      var tokenAufrufe = 0;
+      final speicher = _MemorySpeicher();
+      speicher.werte['guest_token'] = 'alter-token';
+      final gast = GastZugang(
+        client: MockClient((_) async {
+          tokenAufrufe++;
+          return http.Response(
+              jsonEncode({'guest_token': 'neuer-token'}), 200);
+        }),
+        speicher: speicher,
+      );
+      await gast.laden();
+
+      final dienst = YtSearchService(
+        auth: BakaAuth(
+            client: MockClient((_) async => http.Response('', 500)),
+            speicher: _MemorySpeicher()),
+        gast: gast,
+        client: MockClient((_) async => http.Response('Unauthorized', 401)),
+      );
+
+      await dienst.suchen('roses');
+      await Future<void>.delayed(Duration.zero);
+
+      expect(dienst.fehler, 'Gast-Zugang abgelaufen — bitte erneut versuchen');
+      expect(tokenAufrufe, 1);
+    });
   });
 }