Drucker wird in der App gewaehlt, nicht auf dem Pi

Das Einrichtungsskript fragte bisher am Pi, welcher Drucker bedient werden
soll. Damit stand die Einstellung an einem Ort, an den man nur mit einem
Terminal kommt - und ein zweiter Drucker am Pi bedeutete: Skript nochmal.

Jetzt fragt die App den Pi, was angeschlossen ist, und der Bediener waehlt in
den Einstellungen. Die Bruecke bekam dafuer /devices; sie liest die
Klartextnamen aus dem sysfs, damit dort "EPSON TM-T88IV" steht und nicht
"lp0" - bei zwei Druckern der Unterschied zwischen Wissen und Raten.

Der gewaehlte Pfad geht bei jedem Auftrag im Kopf X-Print-Device mit. Die
Bruecke haelt dazu bewusst keinen Zustand und das Skript schreibt kein
PRINT_DEVICE mehr: es soll genau eine Stelle geben, die weiss, welcher Drucker
gemeint ist, naemlich die, an der es bedient wird. Leer bleibt "automatisch" -
das erste gefundene Geraet, zugleich der Rueckfall, wenn aus lp0 nach dem
Umstecken ein lp1 geworden ist.

Der Pfad kommt damit von aussen und wird an beiden Enden geprueft, in
PUT /api/settings und noch einmal in der Bruecke. Eine Schranke, die nur an
einem Ende steht, ist keine: ohne die Pruefung auf dem Pi liesse sich der
Dienst dazu bringen, in eine beliebige Datei zu schreiben.

Nebenbei: ein nicht bereiter Drucker meldete sich in der Oberflaeche als
"HTTP 503". Das verriet niemandem, dass nur ein Stecker lose ist. Die 503 der
Bruecke ist kein Protokollfehler, und ihr Rumpf sagt, was fehlt - der wird
jetzt ausgewertet.

Geprueft am echten Pi (Debian 13, TM-T88IV): Einrichtung ohne Rueckfrage,
Geraeteliste mit Namen, ausdrueckliche Wahl, Druck darauf, Rueckkehr auf
automatisch, Druck darauf. Dazu die Abweise: /etc/passwd und ein Pfad mit
angehaengtem Befehl werden zurueckgewiesen, ein erlaubtes aber fehlendes
/dev/usb/lp7 ergibt eine Meldung im Klartext.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/bondrucker/README.md

@@ -23,10 +23,16 @@ curl -fsSL "<Link aus der Timer-App>" -o bondrucker.sh
 sudo bash bondrucker.sh
 ```
 
-Das Skript fragt, welcher Drucker verwendet werden soll, richtet alles ein und
-meldet den Pi anschließend selbst bei der Timer-App an. In der Oberfläche
-springt die Anzeige von „wartet auf den Pi" auf den fertigen Drucker um. In der
-`.env` ist **nichts** einzutragen.
+Das Skript richtet alles ein und meldet den Pi anschließend selbst bei der
+Timer-App an — ohne Rückfrage. In der Oberfläche springt die Anzeige von
+„wartet auf den Pi" auf den fertigen Drucker um. In der `.env` ist **nichts**
+einzutragen.
+
+**Welcher Drucker bedient wird, wird danach in der Timer-App ausgewählt**
+(Einstellungen → *Drucker am Pi* → **🔄 Suchen**). Die App fragt den Pi über
+`/devices`, was angeschlossen ist, und schickt den gewählten Pfad bei jedem
+Auftrag im Kopf `X-Print-Device` mit. Dieser Dienst hält dazu keinen Zustand:
+es gibt genau eine Stelle, die weiß, welcher Drucker gemeint ist.
 
 Der Pi braucht dafür nur Python 3, systemd, `curl` und den Drucker am
 USB-Anschluss. Ein frisch aufgesetztes Raspberry Pi OS erfüllt das ab Werk.
@@ -49,7 +55,7 @@ deshalb nicht in einen Chatverlauf.
 |---|---|
 | Dienstbenutzer `bondrucker` (Gruppe `lp`) | — |
 | Programm | `/opt/bondrucker/print-server.py` |
-| Token und Gerät | `/etc/bondrucker/env` (`0640`, root:bondrucker) |
+| Token und Port | `/etc/bondrucker/env` (`0640`, root:bondrucker) |
 | udev-Regel | `/etc/udev/rules.d/99-bondrucker.rules` |
 | Dienst | `bondrucker.service`, aktiviert und gestartet |
 
@@ -57,10 +63,10 @@ Das Skript ist wiederholbar: ein erneuter Aufruf überschreibt Programm und
 Token und **startet den Dienst neu**. Ohne den Neustart liefe er mit dem alten
 Token weiter und würde jeden Druckauftrag mit HTTP 403 ablehnen.
 
-Schalter für den Fall, dass nicht gefragt werden soll:
+Abweichender Port der Brücke:
 
 ```bash
-sudo bash bondrucker.sh --device /dev/usb/lp1 --port 9100
+sudo bash bondrucker.sh --port 9100
 ```
 
 ## Installation ohne die Timer-App
@@ -71,8 +77,8 @@ Ausliefern. Direkt ausführbar ist sie deshalb nicht.
 
 Ohne die App werden die Dateien von Hand abgelegt — `print-server.py` nach
 `/opt/bondrucker/`, `bondrucker.service` nach `/etc/systemd/system/`, dazu
-`/etc/bondrucker/env` mit `PRINT_TOKEN=` und `PRINT_DEVICE=`. Adresse, Port und
-Token kommen anschließend von Hand in die Einstellungen der Timer-App.
+`/etc/bondrucker/env` mit `PRINT_TOKEN=`. Adresse, Port und Token kommen
+anschließend von Hand in die Einstellungen der Timer-App.
 
 ## Timer-Server konfigurieren
 
@@ -104,8 +110,18 @@ Antwortet `/status` mit `"ok": true`, ist das Gerät da und beschreibbar.
 | Aufruf | Wirkung |
 |---|---|
 | `GET /status` | JSON mit Gerät, Beschreibbarkeit, letztem Fehler. HTTP 503, wenn kein Drucker da ist |
+| `GET /devices` | alle `/dev/usb/lp*` mit Klartextnamen. Token nötig |
 | `POST /print` | Rumpf = rohe ESC/POS-Bytes, Kopfzeile `X-Print-Token`. Antwortet `{"ok":true,"bytes":N}` |
 
+`/status` und `/print` beachten den Kopf **`X-Print-Device`**. Fehlt er, nimmt
+die Brücke das eingestellte Gerät und sonst das erste gefundene. Der Pfad wird
+gegen `^/dev/(usb/)?lp[0-9]{1,3}$` geprüft — er kommt von außen, und ohne diese
+Schranke ließe sich der Dienst dazu bringen, in eine beliebige Datei zu
+schreiben. Ein unerlaubter Pfad ergibt HTTP 400.
+
+`/devices` verlangt ein Token: welche Geräte am Pi hängen, ist zwar kein
+Geheimnis, aber auch keine Auskunft für jeden im Netz.
+
 `/status` verlangt **kein** Token — der Zustand des Druckers ist nicht geheim
 und soll für Health-Checks abfragbar bleiben. Wird trotzdem eines mitgeschickt,
 meldet die Antwort in `tokenAccepted`, ob es passt. Die App nutzt das nach der