Release v1.9.0 (versionCode 71)

.audit-allowlist.json

@@ -0,0 +1,17 @@
+{
+  "_comment": "Befristete Ausnahmen für scripts/audit-gate.mjs. Grundsätzlich nur Findings ohne Upstream-Fix im Build-Tooling (nicht im App-Bundle); Ausnahmen davon sind im reason begründet. Nach Ablauf schlägt das Gate fehl -> neu bewerten (DrawFromMemory#348).",
+  "advisories": [
+    {
+      "id": "GHSA-mrhx-c7xc-m3w5",
+      "package": "zod",
+      "reason": "Speicher-DoS bei übergroßen Collections: nur noch zod@3 via expo -> @expo/cli (Build-Tooling, validiert lokale Konfiguration); kein gepatchter 3.x-Release, @expo/cli verlangt ^3.25.76. Root-zod (eslint-plugin-react-hooks) auf 4.6.7 gehoben.",
+      "expires": "2026-12-31"
+    },
+    {
+      "id": "GHSA-qr28-fpjm-wq7f",
+      "package": "decode-uri-component",
+      "reason": "Quadratische Laufzeit bei langen %-kodierten Sequenzen. AUSNAHME: im App-Bundle (expo-router -> query-string@7 -> decode-uri-component@0.2.2). Fix erst in 0.5.1 (ESM-only, inkompatibel mit query-string@7); npm audit schlägt nur expo-router 58 (SDK-Major) vor. Risiko gering: betrifft nur das Parsen von App-URLs/Deep-Links auf dem Gerät des Nutzers selbst (kein Server). Mit dem nächsten SDK-Upgrade auflösen.",
+      "expires": "2026-12-31"
+    }
+  ]
+}

.claude/commands/aufräumen.md

@@ -4,6 +4,13 @@ Führe den täglichen Cleanup-Workflow durch:
 
 ## 0. Branch-Übersicht: testing vs. main (alle Repos)
 
+**Nur lokal anwendbar** — der Pfad `/Users/svenstrohkark/...` existiert nur auf
+diesem Mac. In Remote-Execution-Sessions trifft `[ -d "$dir/.git" ]` nie zu, die
+Schleife läuft ohne Ausgabe und ohne Fehler durch. Läuft die Session nicht lokal
+auf diesem Rechner: Abschnitt überspringen und dem Nutzer explizit sagen, dass
+diese Prüfung hier nicht durchgeführt werden konnte — nicht stillschweigend
+weiterlaufen.
+
 Erstelle zu Beginn eine Tabelle aller Repositories mit dem Stand von `testing` gegenüber `main`:
 
 ```bash
@@ -40,9 +47,47 @@ Zeige das Ergebnis als Markdown-Tabelle:
 
 ## 2. Branches aufräumen
 
-- Liste alle merged Feature Branches (lokal und remote)
-- Frage ob diese gelöscht werden sollen
-- Lösche approved Branches
+**Wichtig:** `git branch --merged` und `git merge-base --is-ancestor` sind bei
+Squash-Merge-Policy unbrauchbar — sie melden gemergte Branches als „nicht gemergt".
+Maßgeblich ist die PR-Historie, und dort das Feld `merged_at` (nicht `merged`;
+letzteres ist über MCP-GitHub-Tools unzuverlässig und liefert teils `false`
+auch bei nachweislich gemergten PRs).
+
+```bash
+git fetch --all --prune -q
+for b in $(git branch -r --format='%(refname:short)' \
+           | grep -vE 'origin/(HEAD|main|testing|staging|gh-pages)$'); do
+  br=${b#origin/}
+  pr=$(gh pr list --head "$br" --state merged --json number,mergedAt --limit 1)
+  if [ "$(echo "$pr" | jq 'length')" -gt 0 ]; then
+    echo "✅ $br → PR #$(echo "$pr" | jq -r '.[0].number') gemergt"
+  else
+    echo "⚠️  $br → kein gemergter PR — Inhalt prüfen"
+  fi
+done
+```
+
+Bei `⚠️` zweite Stufe, bevor gelöscht wird — prüft, ob der Branch-Inhalt
+inhaltlich schon im Ziel liegt (z.B. bei umbenanntem Squash-Commit):
+
+```bash
+mb=$(git merge-base origin/testing origin/$br)
+files=$(git diff --name-only $mb origin/$br)
+[ -n "$files" ] && git diff --name-only origin/testing origin/$br -- $files
+# leere Ausgabe = Inhalt vollständig in testing → löschbar
+```
+
+- **Vor dem Löschen fragen**, nur bestätigte Branches löschen
+- `main`, `testing`, `staging`, `gh-pages` **nie** löschen — auch nicht beim Bulk-Delete
+- Schlägt `git push --delete` mit HTTP 403 fehl (Remote-Execution-Umgebungen):
+  Exit-Code ist trotzdem 0 und die letzte Zeile lautet „Everything up-to-date".
+  Nicht als Erfolg werten — stattdessen den fertigen Löschbefehl für die lokale
+  Ausführung ausgeben.
+- Feature-Branches nach Merge löschen: `gh pr merge --delete-branch` explizit
+  verwenden. `scripts/apply-rulesets.sh` setzt `delete_branch_on_merge=false`
+  zentral (seit Issue #122 Korrektur 4, siehe `dev-standards/global-policy.md`,
+  „Merge-Methode zentral erzwingen") — GitHubs Auto-Delete löscht sonst auch
+  den Head-Branch von Release-PRs (`testing → main`), also `testing` selbst
 
 ## 3. GitHub Actions Status
 
@@ -62,6 +107,38 @@ Zeige das Ergebnis als Markdown-Tabelle:
 - Zeige kürzlich geschlossene Issues (heute)
 - Weise auf Issues ohne Label hin
 
+### 5a. Erledigte Issues aufspüren (Issue #111)
+
+`Closes #X` schließt ein Issue nur beim Merge in den **Default-Branch** (`main`).
+Da alle PRs nach `testing` gehen, greift das Keyword faktisch nie — Issues bleiben
+offen, obwohl der Code längst gemergt ist.
+
+Gemergte `testing`-PRs gegen die offenen Issues abgleichen:
+
+```bash
+SLUG=$(git remote get-url origin | sed -E 's#.*github.com[:/]##; s#\.git$##')
+OPEN=$(gh issue list -R "$SLUG" --state open --limit 100 --json number -q '.[].number' | tr '\n' ' ')
+gh pr list -R "$SLUG" --state merged --base testing --limit 60 --json number,body \
+  --jq '.[] | (.body // "") as $b
+        | ($b|[scan("(?i)(?:close[sd]?|fix(?:e[sd])?|resolve[sd]?)\\s+#(\\d+)")]|flatten|unique) as $r
+        | select($r|length>0) | "\(.number) \($r|join(" "))"' |
+while read -r pr refs; do
+  for i in $refs; do
+    case " $OPEN " in *" $i "*) echo "Issue #$i erledigt durch PR #$pr";; esac
+  done
+done
+```
+
+**Nur vorschlagen, nicht automatisch schließen.** Sammel-/Meta-Issues ("Backlog",
+"Maßnahmenkatalog", "Tracking") werden von Teil-PRs oft fälschlich mit `Closes`
+referenziert, sind aber nicht erledigt. Vor dem Schließen den Issue-Titel lesen.
+
+Beim Schließen den Grund vermerken, damit die Historie nachvollziehbar bleibt:
+
+```bash
+gh issue close -R "$SLUG" <N> -c "Umgesetzt in #<PR>, gemergt nach \`testing\`."
+```
+
 ## 6. Dependencies & Security
 
 - Prüfe ob `package.json` Updates braucht (via npm outdated)

.github/dependabot.yml

@@ -0,0 +1,34 @@
+# Dependabot – kostenlose Dependency-Updates + Security-Alerts.
+# Ersetzt zusammen mit codeql.yml den kostenpflichtigen Anthropic-API-Scan.
+
+version: 2
+updates:
+  # GitHub-Actions-Versionen (gilt für ALLE Repos, auch ohne package.json).
+  - package-ecosystem: 'github-actions'
+    directory: '/'
+    target-branch: 'testing'
+    schedule:
+      interval: 'monthly'
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: 'ci'
+    groups:
+      # Kein update-types-Filter → Major landet mit im Sammel-PR.
+      actions-all:
+        patterns:
+          - '*'
+
+  # NPM/Yarn/PNPM-Abhängigkeiten.
+  - package-ecosystem: 'npm'
+    directory: '/'
+    target-branch: 'testing'
+    schedule:
+      interval: 'monthly'
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: 'chore'
+    groups:
+      # Kein update-types-Filter → Major landet mit im Sammel-PR.
+      npm-all:
+        patterns:
+          - '*'

.github/workflows/ci-cd.yml

@@ -4,13 +4,20 @@ on:
   push:
     branches: [main, testing]
   pull_request:
-    branches: [main]
+    branches: [main, testing]
 
 # Security: Explicitly set minimal permissions
 permissions:
   contents: read
 
 jobs:
+  # ============================================================================
+  # JOB 0: Workflow-Linting (Issue #445)
+  # ============================================================================
+  actionlint:
+    name: ⚙️ Workflow Linting
+    uses: S540d/project-templates/.github/workflows/reusable-actionlint.yml@v2
+
   # ============================================================================
   # JOB 1: Code Quality & Linting
   # ============================================================================
@@ -82,7 +89,7 @@ jobs:
         run: npm run validate:svg-counts
 
       - name: TypeScript Type Check
-        run: npx tsc --noEmit || true
+        run: npx tsc --noEmit
 
   # ============================================================================
   # JOB 2: Unit Tests & Coverage
@@ -196,8 +203,9 @@ jobs:
         with:
           node-version: '20'
 
-      - name: Run npm audit
-        run: npm audit --audit-level=high
+      # Gate mit befristeter Allowlist (.audit-allowlist.json) für Findings ohne Upstream-Fix (#348).
+      - name: Run npm audit (Gate)
+        run: node scripts/audit-gate.mjs --level=high
 
       - name: Check for sensitive data
         run: |

.github/workflows/codeql.yml

@@ -0,0 +1,53 @@
+name: 'CodeQL'
+
+# Kostenlose statische Code-Analyse (SAST) via GitHub CodeQL.
+# Zusammen mit .github/dependabot.yml der Ersatz für den kostenpflichtigen
+# Anthropic-API-Scan. build-mode: none — CodeQL analysiert den Quellcode
+# direkt, ohne Autobuild (bei RN-/Expo-Projekten schlägt Autobuild sonst fehl).
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+    branches: [main, testing]
+  schedule:
+    # Wöchentlicher Full-Scan: fängt neu bekannt gewordene CVEs ohne Code-Änderung.
+    - cron: '30 5 * * 1'
+
+permissions:
+  actions: read
+  contents: read
+  security-events: write
+
+jobs:
+  analyze:
+    name: Analyze (${{ matrix.language }})
+    runs-on: ubuntu-latest
+    permissions:
+      actions: read
+      contents: read
+      security-events: write
+
+    strategy:
+      fail-fast: false
+      matrix:
+        include:
+          - language: javascript-typescript
+            build-mode: none
+          - language: actions
+            build-mode: none
+
+    steps:
+      - name: Checkout repository
+        uses: actions/checkout@v4
+
+      - name: Initialize CodeQL
+        uses: github/codeql-action/init@v3
+        with:
+          languages: ${{ matrix.language }}
+          build-mode: ${{ matrix.build-mode }}
+
+      - name: Perform CodeQL Analysis
+        uses: github/codeql-action/analyze@v3
+        with:
+          category: '/language:${{matrix.language}}'

.github/workflows/deploy.yml

@@ -38,7 +38,7 @@ jobs:
         run: node scripts/update-cache-version.js
 
       - name: Deploy to GitHub Pages
-        uses: peaceiris/actions-gh-pages@v3
+        uses: peaceiris/actions-gh-pages@v4
         with:
           github_token: ${{ secrets.GITHUB_TOKEN }}
           publish_dir: ./dist

.github/workflows/standards-audit.yml

@@ -21,12 +21,12 @@ permissions:
 
 jobs:
   security-scan:
-    uses: S540d/project-templates/.github/workflows/reusable-security-scan.yml@v1
+    uses: S540d/project-templates/.github/workflows/reusable-security-scan.yml@v2
     with:
       fail_on_findings: true
 
   gitignore-audit:
-    uses: S540d/project-templates/.github/workflows/reusable-gitignore-audit.yml@v1
+    uses: S540d/project-templates/.github/workflows/reusable-gitignore-audit.yml@v2
     with:
       fail_on_missing: true
 
@@ -35,4 +35,4 @@ jobs:
   # auf uses:-Jobs nicht erlaubt – die Non-Blocking-Semantik muss daher im Template
   # bleiben; security-scan und gitignore-audit (fail_on_*: true) gaten den Merge.
   dev-standards-audit:
-    uses: S540d/project-templates/.github/workflows/reusable-dev-standards-audit.yml@v1
+    uses: S540d/project-templates/.github/workflows/reusable-dev-standards-audit.yml@v2

.gitignore

@@ -39,7 +39,7 @@ yarn-error.log*
 .claude/CLAUDE.md
 .claude/settings.json
 .claude/settings.local.json
-.claude/memory/
+.claude/memory.md
 .claude/todos/
 .claude/cache/
 .claude/data/

CHANGELOG.md

@@ -7,20 +7,47 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [1.9.0] - 2026-11-03 (versionCode 71)
+
+Änderungen seit der Play-Store-Version 1.8.0 (versionCode 69).
+
 ### Added
 
-- Auffindbarkeit außerhalb des Play Stores: Play-Store-Badge + deutsche Kurzbeschreibung im README, Web-only Install-Banner (`WebInstallBanner`) im sichtbaren Bereich der Startseite, deutsche Keywords/Open-Graph-/JSON-LD-Auszeichnung der Landing Page
+- Pause-Vorschlag nach jedem 5. abgeschlossenen Level (5, 10, 15) mit „Hauptmenü" und „Weiter" (#337)
+- Impressum und Datenschutz im Über-Dialog der Einstellungen, in allen 7 Sprachen (#330)
+- Micro-Animationen auf den Kern-Screens: Press-Feedback auf Kacheln und Buttons, `prefers-reduced-motion`-aware (`PressableScale`, `PulseView`)
+- Auffindbarkeit außerhalb des Play Stores: Play-Store-Badge + deutsche Kurzbeschreibung im README, Web-only Install-Hinweis auf der Startseite, deutsche Keywords/Open-Graph-/JSON-LD-Auszeichnung der Landing Page
 - Attributions-Parameter (`referrer` mit UTM-Tags) an allen Play-Store-Links — Installationen aus der Web-Demo werden in der Play Console als eigene Quelle sichtbar (`constants/ExternalLinks.ts`)
 - Crawlbarer `<noscript>`-Inhalt der Landing Page inkl. echtem Play-Store-Link statt Expos „You need to enable JavaScript"-Platzhalter
 - `docs/WEB_DISCOVERABILITY.md` — Trichter, Attribution und Rendering-Besonderheiten des Web-Builds
 
+### Changed
+
+- Neues App-Icon, Adaptive-Icon und Splash-Screen (Haus-Motiv statt Frosch) in ruhigerem, entsättigtem Hellblau `#A9DCEB` statt `#60D5FA`; nativer Splash über das `expo-splash-screen`-Plugin (#304, #338)
+- Design-System einheitlich auf Blau statt Violett (Primärfarbe kontraststark `#0585AD`, WCAG-tauglich für Text/Buttons) (#306)
+- Einstellungen thematisch gruppiert: Erscheinungsbild, Personalisieren, Elternbereich (#336)
+- Startseite entschlackt: „Spiel starten" ist die einzige auffällige Aktion (ohne Dauer-Puls); Tägliche Challenge als dezenter Textlink darunter; Level/Galerie/Freies Malen als einfarbige Textlinks im Footer; Statistik als eine Textzeile statt drei Emoji-Karten; Streak-Badge und schwebende Sterne entfernt — die Serie steht nur noch in Malis Begrüßung
+- Merke-Phase: dünner, einfarbiger Restzeit-Balken statt 80px-Countdown-Kreis mit Gelb/Rot-Warnfarben (war bei 3 s Anzeigezeit dauerhaft im Warnmodus)
+- Replay: Die Skalierung der Zeichnung wird aus der **gesamten** Zeichnung berechnet — die Zeichnung erscheint von Anfang an in Endgröße und wandert nicht mehr mit. Fertige Pfade und Fills werden in Web und Android zwischen den Frames wiederverwendet (pro Frame höchstens 2 statt N Flood-Fills) (#366)
+- Web-Zeichenfläche: Beim Malen wird nur noch der Live-Strich über einen gecachten Snapshot der fertigen Zeichnung gelegt statt bei jeder Mausbewegung alle Striche und Flood-Fills neu zu zeichnen (#358)
+- Web-Install-Hinweis auf der Startseite als dezente Textzeile statt umrahmter Karte; Store-/OG-Grafik zeigt eine Denkblase mit dem Haus-Motiv des App-Icons
+- Intern: `LevelImageDisplay.tsx` in einzelne Render-Dateien unter `components/levelImages/` aufgeteilt (#309); `computeFitTransform()` (#359) und `confirmDestructive()` (#360) ersetzen mehrfach kopierte Logik; Daily-Challenge-/Onboarding-Speicherung nutzt den gemeinsamen `StorageManager`-Fallback (#320); ungenutzte Dependency `react-native-svg-web` entfernt (#321)
+
 ### Fixed
 
-- PWA-/Homescreen-Tags (u. a. Apple-Touch-Icon) fehlten im Deployment: `app/+html.tsx` wird bei `web.output: "single"` nicht gerendert — die Tags werden jetzt im Post-Build injiziert
-- `scripts/post-build.js` präfixierte bereits mit `/DrawFromMemory` beginnende Pfade ein zweites Mal
-- `scripts/deploy-ghpages.sh` führte weder `post-build.js` noch `update-cache-version.js` aus — manuelle Deployments gingen ohne SEO-Tags und ohne Subpfad-Korrektur live
+- Konfetti, Jubel-Sound und Abzeichen-Prüfung blieben aus, wenn zwei Runden hintereinander dieselbe Sternzahl bekamen (#371)
+- Darkmode: Strichmännchen und „Nur Umriss merken"-Modus waren auf dunklem Hintergrund unsichtbar (#335)
+- „Von Level 1 neu starten" setzt den Galerie-Speicherstatus zurück (vorher blieb „In Galerie speichern" ggf. gesperrt)
+- Ergebnis-Feedback wechselte bei jedem Re-Render — jetzt einmal pro Bewertung; DE/EN-Texte für 1–2 Sterne laufen nicht mehr auseinander
+- Web: Füllungen verschwanden (u. a. auf dem Ergebnis-Screen), wenn die Canvas-Breite nicht ganzzahlig war; die Pixelmaße der Web-Zeichenfläche werden jetzt abgerundet
+- Web/PWA-Icon (`public/apple-touch-icon.png`) und OG-Bild (`public/feature-graphic.png`) zeigten alte bzw. abgeschnittene Motive; `apple-touch-icon`-Link ohne `/DrawFromMemory`-Basispfad
+- PWA-/Homescreen-Tags fehlten im Deployment (`app/+html.tsx` wird bei `web.output: "single"` nicht gerendert — Tags werden jetzt im Post-Build injiziert); `scripts/post-build.js` präfixierte `/DrawFromMemory`-Pfade doppelt; `scripts/deploy-ghpages.sh` lief ohne `post-build.js`/`update-cache-version.js`
 - Sitemap listet die beiden echten Datenschutzseiten statt nur der Startseite
 
+### Security
+
+- Abhängigkeiten per `npm audit fix` aktualisiert (u. a. `brace-expansion`, `js-yaml`, `browserslist`, `metro`/`image-size`, `compression`, `handlebars`, `shell-quote`, `source-map-js`); CI-Audit-Gate mit befristeter Allowlist für Findings ohne Upstream-Fix (#348)
+
 ## [1.3.4] - 2026-04-21
 
 ### Fixed