From a852f2914eeab9f146e5912c95f7fec00494dafa Mon Sep 17 00:00:00 2001
From: Agent Zero <agent@media-on.de>
Date: Sat, 22 Aug 2026 22:43:55 +0200
Subject: [PATCH] docs: 190 Architektur-Fehler (ARCH-001 bis ARCH-190) durch
 systematisches Code-Review dokumentiert

---
 docs/test-bugs.md | 48 +++++++++++++++++++++++++++++++++++++++++++++++
 1 file changed, 48 insertions(+)

diff --git a/docs/test-bugs.md b/docs/test-bugs.md
index 53c24da..4781eaa 100644
--- a/docs/test-bugs.md
+++ b/docs/test-bugs.md
@@ -1904,3 +1904,51 @@ Playwright E2E: 10 passed, 24 failed (BUG-011/012/013 — Mock-Daten und data-te
 - **Problem:** Webhook.secret, ShareLink.token, McpServerConfig.api_token werden in API Responses an Frontend gesendet. Secrets sollten nie in Responses stehen.
 - **Schweregrad:** High
 - **Status:** ⏳ Nicht gefixt
+
+### ARCH-183: routes/api_tokens.py — falsche Permission (mcp:write)
+- **Datei:** app/routes/api_tokens.py:33
+- **Problem:** `require_permission("mcp:write")` für API Tokens — sollte `api_tokens:write` oder ähnlich sein. Falsche Permission.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-184: routes/backups.py — falsche Permission (automation:admin)
+- **Datei:** app/routes/backups.py:18
+- **Problem:** `require_permission("automation:admin")` für Backups — sollte `backups:admin` oder ähnlich sein. Falsche Permission.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-185: routes/custom_fields.py — Core→Plugin Import
+- **Datei:** app/routes/custom_fields.py:15
+- **Problem:** `from app.plugins.registry import get_registry` — Core importiert von Plugin Registry.
+- **Schweregrad:** High
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-186: routes/webhooks.py — falsche Permission (workflows:read)
+- **Datei:** app/routes/webhooks.py:22
+- **Problem:** `require_permission("workflows:read")` für Webhooks — sollte `webhooks:read` oder ähnlich sein. Falsche Permission.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-187: routes/entity_permissions.py — list_entity_permissions ohne require_permission
+- **Datei:** app/routes/entity_permissions.py:26
+- **Problem:** `list_entity_permissions` hat nur `get_current_user`, kein `require_permission`. Jeder eingeloggte User kann alle Permissions sehen.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-188: routes/saved_filters.py und saved_views.py — _validate_entity_type dupliziert (3. und 4. Kopie)
+- **Datei:** app/routes/saved_filters.py:20, app/routes/saved_views.py:20
+- **Problem:** _validate_entity_type Funktion ist jetzt in 4 Dateien identisch (tags, entity_links, saved_filters, saved_views). Sollte zentralisiert werden.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-189: routes/groups.py — redundant import uuid as _uuid
+- **Datei:** app/routes/groups.py:27
+- **Problem:** `import uuid as _uuid` inside list_groups Funktion — uuid ist bereits am Datei-Anfang importiert. Redundant.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-190: Systematisches Problem — falsche Permissions in mehreren Routes
+- **Dateien:** api_tokens.py (mcp:write), backups.py (automation:admin), webhooks.py (workflows:read), custom_field_definitions.py (contacts:read), knowledge/routes.py (wiki:read), self_improvement/routes.py (automation:read)
+- **Problem:** Mehrere Routes verwenden falsche Permissions die nicht zu ihrem Modul passen. Permission-Namen sind inkonsistent und zugeordnet zu falschen Modulen.
+- **Schweregrad:** High
+- **Status:** ⏳ Nicht gefixt