Rollen und Rechte

Rolle	Zugang über	Darf
Organisator	Token beim Erstellen	Veto starten, Spieler entfernen, Captain setzen, Codes erneuern, Server neu starten, stoppen und konfigurieren, pausieren und fortsetzen, nächste Map, Match beenden. Sieht Einladungen, Spieler- und CSTV-Verbindung sowie die Match-Übersicht
Captain	Teamcode (erster Spieler oder ernannt)	wie Spieler, dazu Veto-Aktionen des eigenen Teams und Captain-Übergabe
Spieler	Teamcode	bereit melden, Team verlassen. Sieht die Spieler-Verbindungsdaten nach dem Veto
Zuschauer	Zuschauercode	alles live verfolgen. Sieht nur den CSTV-Zugang, nicht das Spielerpasswort
Gast	ohne Code	nur Teamnamen und Status

Organisator spielt selbst mit

In der Lobby kann der Organisator unter „Selbst mitspielen?“ einem Team beitreten. Er bleibt Organisator und ist zusätzlich Spieler bzw. Captain. Ein zweiter Browser ist nicht nötig.

Schutzmaßnahmen

Fremde Beitritte: Jeder Code gehört zu genau einem Team. Zuschauercodes erlauben keinen Beitritt. Codebasierte Endpunkte sind pro IP begrenzt (20 Versuche pro Minute).
Doppelte Aktionen: Jede Veto-Aktion trägt die Schrittnummer. Ein doppelter Klick liefert „Diese Aktion ist veraltet“.
Tokens: Organisator- und Spieler-Tokens sind 256 Bit zufällig und werden nur als SHA-256-Hash gespeichert.
Server-Zugangsdaten (RCON-Passwort, Container-Handle, GSLT) bleiben im Backend. Die Snapshots an Clients enthalten sie nie.
Befehls-Injection: Teamnamen werden vor der Serverkonsole bereinigt. Passwörter sind rein alphanumerisch.

Alle Prüfungen laufen im Backend. Die Oberfläche blendet nur aus, was die Rolle nicht darf.