From c599e5f6b58204bd7fdabb1b81cee3df7c0e6090 Mon Sep 17 00:00:00 2001
From: Dotty Dotter <dotty@Mac.wideopen.space>
Date: Wed, 6 May 2026 22:39:16 +0200
Subject: [PATCH] =?UTF-8?q?fix:=20Merkliste-L=C3=B6schen=20ging=20nicht=20?=
 =?UTF-8?q?=E2=80=94=20onclick-Attribut=20HTML-broken?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

JSON.stringify(a.drucksache) lieferte einen JSON-String mit Doublequotes
(z.B. "18/18089"). Eingesetzt in onclick="merkliste_remove("18/18089")"
brach das das HTML-Attribut beim ersten inneren Doublequote, der Browser
warf 'Unexpected end of input' beim Click und der DELETE-Request kam nie
beim Server an.

Fix: escHtml() um den JSON-String, sodass Quotes als &quot; gerendert
werden — onclick-Attribut bleibt valide.

Bug headless mit Playwright + DEBUG_AUTH_TOKEN gefunden (commit f8cfa42).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
---
 app/templates/v2/screens/merkliste.html | 4 +++-
 1 file changed, 3 insertions(+), 1 deletion(-)

diff --git a/app/templates/v2/screens/merkliste.html b/app/templates/v2/screens/merkliste.html
index 1137c17..1619292 100644
--- a/app/templates/v2/screens/merkliste.html
+++ b/app/templates/v2/screens/merkliste.html
@@ -251,7 +251,9 @@ function renderRow(a) {
     +   '</a>'
     +   notiz
     + '</div>'
-    + '<button onclick="merkliste_remove(' + JSON.stringify(a.drucksache) + ')"'
+    // onclick mit doppelt-encoded Quote: JSON.stringify liefert "18/18089"
+    // mit Doublequotes — die brechen das onclick-Attribut. escHtml(") -> &quot;.
+    + '<button onclick="merkliste_remove(' + escHtml(JSON.stringify(a.drucksache)) + ')"'
     +   ' title="Aus Merkliste entfernen"'
     +   ' style="padding:4px 8px;border:1px solid var(--hairline);border-radius:4px;background:none;'
     +          'cursor:pointer;font-family:var(--font-mono);font-size:11px;color:var(--ecg-dark);'