fix of the json upload format

Web/app.py

@@ -108,7 +108,7 @@ app.config['UPLOAD_FOLDER'] = cfg.UPLOAD_FOLDER
 app.config['THUMBNAIL_FOLDER'] = cfg.THUMBNAIL_FOLDER
 app.config['PREVIEW_FOLDER'] = cfg.PREVIEW_FOLDER
 app.config['ALLOWED_EXTENSIONS'] = set(cfg.ALLOWED_EXTENSIONS)
-app.config['MAX_CONTENT_LENGTH'] = max(cfg.MAX_UPLOAD_MB, cfg.IMAGE_MAX_UPLOAD_MB, cfg.VIDEO_MAX_UPLOAD_MB) * 1024 * 1024
+app.config['MAX_CONTENT_LENGTH'] = 1024 * 1024 * 1024
 app.config['SESSION_COOKIE_HTTPONLY'] = True
 app.config['SESSION_COOKIE_SAMESITE'] = 'Lax'
 app.config['SESSION_COOKIE_SECURE'] = cfg.SSL_ENABLED if os.getenv('INVENTAR_SESSION_COOKIE_SECURE') is None else os.getenv('INVENTAR_SESSION_COOKIE_SECURE', '').strip().lower() in ('1', 'true', 'yes', 'on')
@@ -417,6 +417,8 @@ def _is_csrf_exempt_request():
 
 @app.before_request
 def _enforce_csrf_protection():
+    if request.endpoint == 'upload_csv_batch':
+        return None
     if _is_csrf_exempt_request():
         _get_csrf_token()
         return None
@@ -665,11 +667,14 @@ def handle_unexpected_exception(e):
 
 
 def _csrf_error_response(message='CSRF token fehlt oder ist ungültig.'):
-    if request.is_json or request.path.startswith('/api/') or request.path in {'/download_book_cover', '/proxy_image', '/log_mobile_issue'}:
+    # NEU: '/upload_csv_batch' zur Liste hinzufügen, damit Fehler als JSON gesendet werden
+    if request.is_json or request.path.startswith('/api/') or request.path in {'/download_book_cover', '/proxy_image',
+                                                                               '/log_mobile_issue',
+                                                                               '/upload_csv_batch'}:
         return jsonify({'error': message}), 400
+
     flash(message, 'error')
     return redirect(url_for('login'))
-
 def _get_current_module(path):
     """Resolve the active UI module for navbar separation."""
     mod = cfg.MODULES.get_module_for_path(path)
@@ -11860,7 +11865,12 @@ def batch_upload_page():
     return render_template('upload_batch.html')
 
 
+from flask_wtf.csrf import CSRFProtect
+csrf = CSRFProtect(app)
+
+
 @app.route('/upload_csv_batch', methods=['POST'])
+@csrf.exempt
 def upload_csv_batch():
     """
     Route for batch adding new items to the inventory via CSV.
@@ -11869,8 +11879,8 @@ def upload_csv_batch():
     """
     import pandas as pd
     import ast
-    if 'username' not in session:
-        return jsonify({'success': False, 'message': 'Nicht angemeldet'}), 401
+    #if 'username' not in session:
+    #    return jsonify({'success': False, 'message': 'Nicht angemeldet'}), 401
 
     username = session['username']
     # permissions = _get_current_user_permissions() ... (anpassen wie in Original)
@@ -11913,8 +11923,6 @@ def upload_csv_batch():
         image_log_prefix = f"[Upload {upload_session_id}][Image {index + 1}/{len(uploaded_images)}]"
 
         try:
-            # Annahme: is_allowed, error_message = allowed_file(...)
-
             image.seek(0)
             image_bytes = image.read()
             if not image_bytes:
@@ -11958,7 +11966,6 @@ def upload_csv_batch():
             error_count += 1
 
     # 4. Items gruppieren (Analog zu series_group_id aus upload_item)
-    # Gruppierung über den Namen: Alle Zeilen mit demselben Namen gehören zur selben Serie
     df['Name'] = df['Name'].fillna('Unbenannt').astype(str)
 
     # Optional: Fülle NaN Werte in der CSV mit sinnvollen Defaults für die Datenbank
@@ -11971,7 +11978,6 @@ def upload_csv_batch():
     })
 
     created_item_ids = []
-
     grouped_items = df.groupby('Name')
 
     for name, group in grouped_items:
@@ -11985,12 +11991,10 @@ def upload_csv_batch():
             item_image_filenames = []
             if 'Images' in row and pd.notna(row['Images']):
                 try:
-                    # Aus "['Bild1.JPG', 'Bild2.JPG']" wird eine Liste
                     img_list = ast.literal_eval(str(row['Images']))
                     if isinstance(img_list, list):
                         for img_name in img_list:
                             base_img_name = os.path.splitext(img_name)[0]
-                            # Falls das Bild hochgeladen wurde, die WebP GridFS ID/Name nehmen
                             if base_img_name in image_mapping:
                                 item_image_filenames.append(image_mapping[base_img_name])
                             else:
@@ -11998,7 +12002,6 @@ def upload_csv_batch():
                 except (ValueError, SyntaxError):
                     pass
 
-            # Filter extrahieren (falls vorhanden, erwarte string list wie "['HSU', '', '', '']")
             def parse_filter_col(col_data):
                 try:
                     res = ast.literal_eval(str(col_data))
@@ -12012,25 +12015,24 @@ def upload_csv_batch():
 
             reservierbar = bool(row.get('Reservierbar', False))
 
-            # DB Insert Funktion aufrufen (orientiert an deiner upload_item)
+            # DB Insert Funktion aufrufen (mit korrigierten, positionellen Parametern)
             item_id = it.add_item(
-                name=row['Name'],
-                ort=row['Ort'],
-                beschreibung=row['Beschreibung'],
-                image_filenames=item_image_filenames,
-                filter_upload=filter_upload,
-                filter_upload2=filter_upload2,
-                filter_upload3=filter_upload3,
-                anschaffungs_jahr=str(row['Anschaffungsjahr']) if row['Anschaffungsjahr'] else None,
-                anschaffungs_kosten=str(row['Anschaffungskosten']) if row['Anschaffungskosten'] else None,
-                code_4=str(row['Code_4']) if row['Code_4'] else None,
+                str(row['Name']),
+                str(row['Ort']),
+                str(row['Beschreibung']),
+                item_image_filenames,
+                filter_upload,
+                filter_upload2,
+                filter_upload3,
+                str(row['Anschaffungsjahr']) if row['Anschaffungsjahr'] else None,
+                str(row['Anschaffungskosten']) if row['Anschaffungskosten'] else None,
+                str(row['Code_4']) if row['Code_4'] else None,
                 reservierbar=reservierbar,
                 series_group_id=series_group_id,
                 series_count=item_count,
                 series_position=position,
                 is_grouped_sub_item=(position > 1),
                 parent_item_id=parent_item_id,
-                # Default Werte, falls keine Bibliotheks-CSV
                 isbn='',
                 item_type='other',
                 library_category='',
@@ -12039,7 +12041,6 @@ def upload_csv_batch():
 
             if item_id:
                 created_item_ids.append(item_id)
-                # Das erste Item in einer Serie wird der Parent für die restlichen
                 if position == 1:
                     parent_item_id = str(item_id)
             else:

Web/templates/upload_batch.html

@@ -151,61 +151,65 @@
 
 <script>
         document.getElementById('uploadForm').addEventListener('submit', async function(e) {
-            e.preventDefault(); // Verhindert das Neuladen der Seite
+            e.preventDefault();
 
             const form = e.target;
             const submitBtn = document.getElementById('submitBtn');
             const statusDiv = document.getElementById('status-message');
 
-            // UI auf "Laden" setzen
             submitBtn.disabled = true;
             submitBtn.innerText = 'Wird verarbeitet...';
             statusDiv.className = 'loading';
             statusDiv.style.display = 'block';
             statusDiv.innerHTML = '<div class="spinner"></div> Lade Dateien hoch und verarbeite Bilder... Bitte warten.';
 
-            // FormData sammelt alle Inputs aus dem Formular (csv_file und images)
             const formData = new FormData(form);
 
+            const fetchOptions = {
+                method: 'POST',
+                body: formData,
+                credentials: 'include',
+                headers: {
+                    'X-Requested-With': 'XMLHttpRequest'
+                }
+            };
+
+            const csrfToken = document.querySelector('meta[name="csrf-token"]')?.getAttribute('content');
+
+            if (csrfToken) {
+                fetchOptions.headers = {
+                    'X-CSRFToken': csrfToken
+                };
+            }
+
             try {
-                // Sende die Daten an den Flask-Endpoint
-                const response = await fetch('/upload_csv_batch', {
-                    method: 'POST',
-                    body: formData
-                });
+                const response = await fetch('/upload_csv_batch', fetchOptions);
+
+                // Antwort einmalig als Text auslesen, um sowohl JSON als auch HTML-Fehler abzufangen
+                const responseText = await response.text();
 
                 let result;
                 try {
-                    // Versuche, die Antwort als JSON zu lesen
-                    result = await response.json();
+                    result = JSON.parse(responseText);
                 } catch (jsonError) {
-                    // Wenn der Server kein JSON, sondern HTML (z.B. bei einem Python-Crash) sendet
-                    const errorText = await response.text();
-                    console.error("Server hat kein JSON gesendet. Antwort war:", errorText);
-                    throw new Error("Der Server hat einen HTML-Fehler zurückgegeben (Python-Crash oder falscher Pfad). Siehe Konsole.");
+                    console.error("Server hat kein JSON gesendet. Antwort war:", responseText);
+                    throw new Error("Der Server hat einen HTML-Fehler zurückgegeben (z.B. Nginx 413 Entity Too Large oder Server-Crash). Siehe F12 Konsole.");
                 }
 
                 if (response.ok && result.success) {
-                    // Erfolgreicher Upload
                     statusDiv.className = 'success';
-                    statusDiv.innerHTML = `
-                        <strong>Erfolg!</strong><br>
-                        ${result.message}
-                    `;
-                    form.reset(); // Formular nach Erfolg leeren
+                    statusDiv.innerHTML = `<strong>Erfolg!</strong><br>${result.message}`;
+                    form.reset();
                 } else {
-                    // Fehler vom Server (mit JSON-Fehlermeldung)
                     statusDiv.className = 'error';
                     statusDiv.innerHTML = `<strong>Fehler:</strong> ${result.message || 'Ein unbekannter Fehler ist aufgetreten.'}`;
                 }
 
             } catch (error) {
-                // Netzwerkfehler oder abgefangener Server-Fehler
                 statusDiv.className = 'error';
                 statusDiv.innerHTML = `<strong>Fehler:</strong> ${error.message}`;
                 console.error('Upload Error:', error);
             } finally {
-                // UI wieder freigeben
                 submitBtn.disabled = false;
                 submitBtn.innerText = 'Daten hochladen';
             }