From db3cd6ab5a6df8ef7cdbba5a1f8cea0a8df660c6 Mon Sep 17 00:00:00 2001
From: Claude <noreply@anthropic.com>
Date: Fri, 23 Oct 2026 20:36:16 +0000
Subject: [PATCH 1/3] chore: Release 1.9.0 (versionCode 71) auf testing
 vorbereiten
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

- CHANGELOG: [Unreleased] zu [1.9.0] konsolidiert (doppelte Abschnitte
  zusammengeführt), fehlende Änderungen seit Play-Store-Version 1.8.0
  ergänzt (Pause-Dialog, Einstellungs-Gruppierung, Impressum, Icon/Farben,
  Darkmode-Fix, Konfetti-Fix #371)
- CLAUDE.md: Versionsstand (Store 1.8.0/69, testing 1.9.0/71) korrigiert
- validate-release.sh: stammte aus dem 1x1-Trainer (App.tsx, Android/
  Gradle) und lief hier ins Leere; jetzt projektspezifisch (Versionen,
  versionCode > letzter Tag, CHANGELOG, Lint, tsc, SVG, Jest, Audit-Gate,
  Web- und Android-Bundle)
- .audit-allowlist.json: braces-Eintrag ohne Treffer entfernt

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AfCKFu51beRuwRbDYQRaJd
---
 .audit-allowlist.json       |   6 -
 CHANGELOG.md                |  58 ++++----
 CLAUDE.md                   |   4 +-
 scripts/validate-release.sh | 263 ++++++++----------------------------
 4 files changed, 86 insertions(+), 245 deletions(-)

diff --git a/.audit-allowlist.json b/.audit-allowlist.json
index 66ef05f..2185829 100644
--- a/.audit-allowlist.json
+++ b/.audit-allowlist.json
@@ -6,12 +6,6 @@
       "package": "node-forge",
       "reason": "RSA PKCS#1 v1.5: kein gepatchter Release; nur via expo -> @expo/cli (Build-Tooling)",
       "expires": "2026-12-31"
-    },
-    {
-      "id": "GHSA-vfj7-8cjw-p6xm",
-      "package": "braces",
-      "reason": "Stack-Exhaustion DoS: kein gepatchter Release; nur via micromatch/patch-package (Dev-Tooling)",
-      "expires": "2026-12-31"
     }
   ]
 }
diff --git a/CHANGELOG.md b/CHANGELOG.md
index 611e732..d794b87 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -7,48 +7,46 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
-### Changed
-
-- Bestätigungsdialog vor destruktiven Aktionen als Helper `confirmDestructive()` in `utils/platform.ts` (Web: `window.confirm`, nativ: `Alert.alert` mit destruktivem Button); die drei kopierten Web/Native-Verzweigungen in `creative.tsx`, `gallery.tsx` und `DrawPhase.tsx` entfallen. `SoundManager` und `SentryService` nutzen `isWeb` statt direkter `Platform.OS`-Checks (#360)
-- Die Logik „Zeichnung in eine Fläche einpassen" (Bounding Box → Skalierung/Offset) liegt jetzt einmal in `utils/drawingTransform.ts` (`computeFitTransform`) statt viermal kopiert in Web-/Native-Zeichenfläche und ShareService web/native; Verhalten unverändert (#359)
-
-### Changed
+## [1.9.0] - TBD (versionCode 71)
 
-- Replay: Die Skalierung der Zeichnung wird aus der **gesamten** Zeichnung berechnet, nicht aus den gerade sichtbaren Pfaden — die Zeichnung erscheint von Anfang an in Endgröße und wandert nicht mehr mit. Dadurch können fertige Pfade und Fills in Web und Android zwischen den Frames wiederverwendet werden (pro Frame höchstens 2 statt N Flood-Fills) (#366)
-- Web-Zeichenfläche: Beim Malen wird nur noch der Live-Strich über einen gecachten Snapshot der fertigen Zeichnung gelegt. Vorher liefen bei jeder Mausbewegung alle Striche und alle Flood-Fills (volle `getImageData`/`putImageData`-Durchläufe) erneut (#358)
+Änderungen seit der Play-Store-Version 1.8.0 (versionCode 69).
 
-### Fixed
+### Added
 
-- Web: Füllungen verschwanden (u. a. auf dem Ergebnis-Screen), wenn die Canvas-Breite nicht ganzzahlig war (z. B. `screenWidth * 0.44` = 184,8 px). Die Pixelmaße der Web-Zeichenfläche werden jetzt abgerundet, damit Canvas-Attribut, `getImageData` und Flood-Fill dieselbe Zeilenbreite verwenden
-- „Von Level 1 neu starten" setzt den Galerie-Speicherstatus zurück (vorher blieb „In Galerie speichern" ggf. gesperrt)
-- Ergebnis-Feedback wechselte bei jedem Re-Render, weil die rotierende Nachricht im Render gewählt wurde — jetzt einmal pro Bewertung; DE/EN-Texte für 1–2 Sterne laufen nicht mehr auseinander
+- Pause-Vorschlag nach jedem 5. abgeschlossenen Level (5, 10, 15) mit „Hauptmenü" und „Weiter" (#337)
+- Impressum und Datenschutz im Über-Dialog der Einstellungen, in allen 7 Sprachen (#330)
+- Micro-Animationen auf den Kern-Screens: Press-Feedback auf Kacheln und Buttons, `prefers-reduced-motion`-aware (`PressableScale`, `PulseView`)
+- Auffindbarkeit außerhalb des Play Stores: Play-Store-Badge + deutsche Kurzbeschreibung im README, Web-only Install-Hinweis auf der Startseite, deutsche Keywords/Open-Graph-/JSON-LD-Auszeichnung der Landing Page
+- Attributions-Parameter (`referrer` mit UTM-Tags) an allen Play-Store-Links — Installationen aus der Web-Demo werden in der Play Console als eigene Quelle sichtbar (`constants/ExternalLinks.ts`)
+- Crawlbarer `<noscript>`-Inhalt der Landing Page inkl. echtem Play-Store-Link statt Expos „You need to enable JavaScript"-Platzhalter
+- `docs/WEB_DISCOVERABILITY.md` — Trichter, Attribution und Rendering-Besonderheiten des Web-Builds
 
 ### Changed
 
-- Web-Install-Hinweis auf der Startseite als dezente Textzeile statt umrahmter Karte mit Emoji und Untertitel
-- Store-/OG-Grafik: Schritt „Denken" zeigt eine Denkblase mit dem Haus-Motiv des App-Icons statt der Mascot-Figur
-- Startseite entschlackt: „Spiel starten" ist die einzige auffällige Aktion (ohne Dauer-Puls); Tägliche Challenge als dezenter Textlink darunter (ohne ⚡, Farbrahmen, Countdown); Level/Galerie/Freies Malen als einfarbige Textlinks im Footer; Statistik als eine Textzeile statt drei Emoji-Karten; Streak-Badge und schwebende Sterne entfernt — die Serie steht nur noch in Malis Begrüßung
+- Neues App-Icon, Adaptive-Icon und Splash-Screen (Haus-Motiv statt Frosch) in ruhigerem, entsättigtem Hellblau `#A9DCEB` statt `#60D5FA`; nativer Splash über das `expo-splash-screen`-Plugin (#304, #338)
+- Design-System einheitlich auf Blau statt Violett (Primärfarbe kontraststark `#0585AD`, WCAG-tauglich für Text/Buttons) (#306)
+- Einstellungen thematisch gruppiert: Erscheinungsbild, Personalisieren, Elternbereich (#336)
+- Startseite entschlackt: „Spiel starten" ist die einzige auffällige Aktion (ohne Dauer-Puls); Tägliche Challenge als dezenter Textlink darunter; Level/Galerie/Freies Malen als einfarbige Textlinks im Footer; Statistik als eine Textzeile statt drei Emoji-Karten; Streak-Badge und schwebende Sterne entfernt — die Serie steht nur noch in Malis Begrüßung
 - Merke-Phase: dünner, einfarbiger Restzeit-Balken statt 80px-Countdown-Kreis mit Gelb/Rot-Warnfarben (war bei 3 s Anzeigezeit dauerhaft im Warnmodus)
-- App-Icon/Splash/Store-Grafik: ruhigeres, entsättigtes Hellblau `#A9DCEB` statt `#60D5FA`
+- Replay: Die Skalierung der Zeichnung wird aus der **gesamten** Zeichnung berechnet — die Zeichnung erscheint von Anfang an in Endgröße und wandert nicht mehr mit. Fertige Pfade und Fills werden in Web und Android zwischen den Frames wiederverwendet (pro Frame höchstens 2 statt N Flood-Fills) (#366)
+- Web-Zeichenfläche: Beim Malen wird nur noch der Live-Strich über einen gecachten Snapshot der fertigen Zeichnung gelegt statt bei jeder Mausbewegung alle Striche und Flood-Fills neu zu zeichnen (#358)
+- Web-Install-Hinweis auf der Startseite als dezente Textzeile statt umrahmter Karte; Store-/OG-Grafik zeigt eine Denkblase mit dem Haus-Motiv des App-Icons
+- Intern: `LevelImageDisplay.tsx` in einzelne Render-Dateien unter `components/levelImages/` aufgeteilt (#309); `computeFitTransform()` (#359) und `confirmDestructive()` (#360) ersetzen mehrfach kopierte Logik; Daily-Challenge-/Onboarding-Speicherung nutzt den gemeinsamen `StorageManager`-Fallback (#320); ungenutzte Dependency `react-native-svg-web` entfernt (#321)
 
 ### Fixed
 
-- Web/PWA-Icon (`public/apple-touch-icon.png`) und OG-Bild (`public/feature-graphic.png`) zeigten noch alte bzw. abgeschnittene Motive — werden jetzt von `scripts/generate-icon-assets.js` mit erzeugt
-- `apple-touch-icon`-Link in `app/_layout.tsx` ohne `/DrawFromMemory`-Basispfad
-
-### Added
-
-- Auffindbarkeit außerhalb des Play Stores: Play-Store-Badge + deutsche Kurzbeschreibung im README, Web-only Install-Banner (`WebInstallBanner`) im sichtbaren Bereich der Startseite, deutsche Keywords/Open-Graph-/JSON-LD-Auszeichnung der Landing Page
-- Attributions-Parameter (`referrer` mit UTM-Tags) an allen Play-Store-Links — Installationen aus der Web-Demo werden in der Play Console als eigene Quelle sichtbar (`constants/ExternalLinks.ts`)
-- Crawlbarer `<noscript>`-Inhalt der Landing Page inkl. echtem Play-Store-Link statt Expos „You need to enable JavaScript"-Platzhalter
-- `docs/WEB_DISCOVERABILITY.md` — Trichter, Attribution und Rendering-Besonderheiten des Web-Builds
+- Konfetti, Jubel-Sound und Abzeichen-Prüfung blieben aus, wenn zwei Runden hintereinander dieselbe Sternzahl bekamen (#371)
+- Darkmode: Strichmännchen und „Nur Umriss merken"-Modus waren auf dunklem Hintergrund unsichtbar (#335)
+- „Von Level 1 neu starten" setzt den Galerie-Speicherstatus zurück (vorher blieb „In Galerie speichern" ggf. gesperrt)
+- Ergebnis-Feedback wechselte bei jedem Re-Render — jetzt einmal pro Bewertung; DE/EN-Texte für 1–2 Sterne laufen nicht mehr auseinander
+- Web: Füllungen verschwanden (u. a. auf dem Ergebnis-Screen), wenn die Canvas-Breite nicht ganzzahlig war; die Pixelmaße der Web-Zeichenfläche werden jetzt abgerundet
+- Web/PWA-Icon (`public/apple-touch-icon.png`) und OG-Bild (`public/feature-graphic.png`) zeigten alte bzw. abgeschnittene Motive; `apple-touch-icon`-Link ohne `/DrawFromMemory`-Basispfad
+- PWA-/Homescreen-Tags fehlten im Deployment (`app/+html.tsx` wird bei `web.output: "single"` nicht gerendert — Tags werden jetzt im Post-Build injiziert); `scripts/post-build.js` präfixierte `/DrawFromMemory`-Pfade doppelt; `scripts/deploy-ghpages.sh` lief ohne `post-build.js`/`update-cache-version.js`
+- Sitemap listet die beiden echten Datenschutzseiten statt nur der Startseite
 
-### Fixed
+### Security
 
-- PWA-/Homescreen-Tags (u. a. Apple-Touch-Icon) fehlten im Deployment: `app/+html.tsx` wird bei `web.output: "single"` nicht gerendert — die Tags werden jetzt im Post-Build injiziert
-- `scripts/post-build.js` präfixierte bereits mit `/DrawFromMemory` beginnende Pfade ein zweites Mal
-- `scripts/deploy-ghpages.sh` führte weder `post-build.js` noch `update-cache-version.js` aus — manuelle Deployments gingen ohne SEO-Tags und ohne Subpfad-Korrektur live
-- Sitemap listet die beiden echten Datenschutzseiten statt nur der Startseite
+- Abhängigkeiten per `npm audit fix` aktualisiert (u. a. `brace-expansion`, `js-yaml`, `browserslist`, `metro`/`image-size`, `compression`, `handlebars`, `shell-quote`, `source-map-js`); CI-Audit-Gate mit befristeter Allowlist für Findings ohne Upstream-Fix (#348)
 
 ## [1.3.4] - 2026-04-21
 
diff --git a/CLAUDE.md b/CLAUDE.md
index 51f7515..f1b301c 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -5,7 +5,7 @@
 **Merke und Male** — Gedächtnistraining-App für Kinder (React Native / Expo).
 Spieler sehen ein Bild kurz, zeichnen es aus dem Gedächtnis, vergleichen das Ergebnis.
 
-- **Aktuell: v1.9.0** (package.json + app.json; versionCode 70)
+- **Aktuell: v1.9.0** (package.json + app.json; versionCode 71) — **Play Store: v1.8.0 / versionCode 69**; v1.9.0 ist Release-Kandidat auf `testing` (versionCode 70 wurde nie im Store veröffentlicht)
 - **Mindestanforderung Android: API 26 (Android 8.0 Oreo)** — Nexus 6 (max. API 25) wird nicht mehr unterstützt (Issue #172, geschlossen)
 - **Live Demo:** https://s540d.github.io/DrawFromMemory/
 - **Repo:** https://github.com/S540d/DrawFromMemory
@@ -245,7 +245,7 @@ Niemals `rotation`/`origin`-Props an SVG-Elemente geben, die auch auf Web gerend
 
 ## Wachstums-Roadmap (Issue #219)
 
-Übergeordneter Plan für nachhaltiges Wachstum im Play Store. Stand `main` @ v1.9.0 / versionCode 70. **Play Store noch nicht auf v1.9.0** (Release-Aufgabe Issue #267). `testing` liegt primär mit Tech-Debt/Infra voraus (kein User-Facing-Feature-Rückstand). Themen-Packs sind über `LevelImage.pack?: string` getaggt; neue Packs brauchen Render-Dateien in `components/levelImages/` + Registry-/Pool-Einträge, visueller Stil verbindlich laut [`docs/ILLUSTRATION_STYLEGUIDE.md`](docs/ILLUSTRATION_STYLEGUIDE.md).
+Übergeordneter Plan für nachhaltiges Wachstum im Play Store. Stand: Play Store @ v1.8.0 / versionCode 69, `main` @ v1.9.0 / versionCode 70 (nie veröffentlicht), `testing` @ v1.9.0 / versionCode 71 = Release-Kandidat (Release-Aufgabe Issue #267). `testing` enthält gegenüber `main` auch User-Facing-Änderungen (neues Icon/Farben, Pause-Dialog, Einstellungs-Gruppierung, Impressum, Startseiten-Redesign) — Details im `CHANGELOG.md` unter [1.9.0]. Themen-Packs sind über `LevelImage.pack?: string` getaggt; neue Packs brauchen Render-Dateien in `components/levelImages/` + Registry-/Pool-Einträge, visueller Stil verbindlich laut [`docs/ILLUSTRATION_STYLEGUIDE.md`](docs/ILLUSTRATION_STYLEGUIDE.md).
 
 Vollständige P0/P1/P2-Statustabellen und Themen-Pack-Architektur-Details: [`docs/ROADMAP.md`](docs/ROADMAP.md).
 
diff --git a/scripts/validate-release.sh b/scripts/validate-release.sh
index e27e032..531b384 100755
--- a/scripts/validate-release.sh
+++ b/scripts/validate-release.sh
@@ -1,235 +1,84 @@
 #!/bin/bash
-
-# ==============================================================================
-# 🚀 Release Validation Script
 # ==============================================================================
-# Automatisierte Prüfung aller Release-Anforderungen
+# Release-Validierung für Merke und Male (npm run validate)
+# Prüft lokal, was vor einem Play-Store-Build stimmen muss. Bricht nicht beim
+# ersten Fehler ab, sondern sammelt alle Ergebnisse.
 # Usage: ./scripts/validate-release.sh
 # ==============================================================================
 
-set -e  # Exit on error
-
-SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
-PROJECT_ROOT="$(dirname "$SCRIPT_DIR")"
-
-cd "$PROJECT_ROOT"
-
-echo "=================================================="
-echo "🚀 Release Validation für 1x1 Trainer"
-echo "=================================================="
-echo ""
+cd "$(dirname "${BASH_SOURCE[0]}")/.." || exit 2
 
-# Colors
 RED='\033[0;31m'
 GREEN='\033[0;32m'
-YELLOW='\033[1;33m'
-NC='\033[0m' # No Color
-
+NC='\033[0m'
 ERRORS=0
-WARNINGS=0
-
-# ==============================================================================
-# 1. VERSION CONSISTENCY
-# ==============================================================================
-echo "📦 Checking version consistency..."
-
-PACKAGE_VERSION=$(node -p "require('./package.json').version")
-APP_JSON_VERSION=$(node -p "require('./app.json').expo.version")
-APP_VERSION=$(grep "APP_VERSION = " App.tsx | sed -E "s/.*'(.*)'.*/\1/")
-GRADLE_VERSION=$(grep "versionName = " Android/app/build.gradle.kts | sed -E 's/.*"(.*)".*/\1/')
-GRADLE_CODE=$(grep "versionCode = " Android/app/build.gradle.kts | sed -E 's/.*= ([0-9]+).*/\1/')
-APP_JSON_CODE=$(node -p "require('./app.json').expo.android.versionCode")
-
-echo "  package.json:     v$PACKAGE_VERSION"
-echo "  app.json:         v$APP_JSON_VERSION (versionCode: $APP_JSON_CODE)"
-echo "  App.tsx:          v$APP_VERSION"
-echo "  build.gradle.kts: v$GRADLE_VERSION (versionCode: $GRADLE_CODE)"
-
-if [ "$PACKAGE_VERSION" != "$APP_JSON_VERSION" ] || \
-   [ "$PACKAGE_VERSION" != "$APP_VERSION" ] || \
-   [ "$PACKAGE_VERSION" != "$GRADLE_VERSION" ]; then
-  echo -e "${RED}❌ ERROR: Version mismatch!${NC}"
-  ERRORS=$((ERRORS + 1))
-else
-  echo -e "${GREEN}✅ All versions consistent${NC}"
-fi
-
-if [ "$GRADLE_CODE" != "$APP_JSON_CODE" ]; then
-  echo -e "${RED}❌ ERROR: Android versionCode mismatch!${NC}"
-  ERRORS=$((ERRORS + 1))
-else
-  echo -e "${GREEN}✅ Android versionCode consistent${NC}"
-fi
-
-echo ""
-
-# ==============================================================================
-# 2. CODE QUALITY CHECKS
-# ==============================================================================
-echo "🔍 Code Quality Checks..."
-
-# Check for console.log
-if grep -r "console\.log\|console\.debug" App.tsx 2>/dev/null; then
-  echo -e "${RED}❌ ERROR: Found console.log/debug in production code!${NC}"
-  ERRORS=$((ERRORS + 1))
-else
-  echo -e "${GREEN}✅ No console.log found${NC}"
-fi
-
-# Check for unsafe Web APIs
-if grep -n "window\." App.tsx | grep -v "Platform.OS === 'web'" | grep -v "// platform-safe"; then
-  echo -e "${RED}❌ ERROR: Found window.* without Platform.OS check!${NC}"
-  ERRORS=$((ERRORS + 1))
-else
-  echo -e "${GREEN}✅ All window.* calls are platform-safe${NC}"
-fi
-
-if grep -n "localStorage\." App.tsx | grep -v "Platform.OS === 'web'" | grep -v "// platform-safe"; then
-  echo -e "${RED}❌ ERROR: Found localStorage without Platform.OS check!${NC}"
-  ERRORS=$((ERRORS + 1))
-else
-  echo -e "${GREEN}✅ All localStorage calls are platform-safe${NC}"
-fi
-
-echo ""
-
-# ==============================================================================
-# 3. UX GUIDELINES COMPLIANCE
-# ==============================================================================
-echo "🎨 UX Guidelines Compliance..."
-
-# Check for gear emoji (should use three dots)
-if grep -q "⚙" App.tsx; then
-  echo -e "${RED}❌ ERROR: Found gear emoji! Use three vertical dots (⋮) instead${NC}"
-  ERRORS=$((ERRORS + 1))
-else
-  echo -e "${GREEN}✅ Settings icon correct (three dots)${NC}"
-fi
-
-# Check for Light theme (should only have System/Dark)
-if grep -q "themeMode === 'light'" App.tsx; then
-  echo -e "${YELLOW}⚠️  WARNING: Light theme found. Consider System/Dark toggle only${NC}"
-  WARNINGS=$((WARNINGS + 1))
-fi
-
-echo ""
 
-# ==============================================================================
-# 4. BUILD TESTS
-# ==============================================================================
-echo "🔨 Build Tests..."
-
-# Web Build
-echo "  Testing Web build..."
-if npm run build:web >/dev/null 2>&1; then
-  echo -e "${GREEN}  ✅ Web build successful${NC}"
-else
-  echo -e "${RED}  ❌ Web build failed!${NC}"
-  ERRORS=$((ERRORS + 1))
-fi
-
-# Android Build
-echo "  Testing Android build..."
-if cd Android && ./gradlew assembleRelease --quiet >/dev/null 2>&1; then
-  echo -e "${GREEN}  ✅ Android build successful${NC}"
-  cd ..
-else
-  echo -e "${RED}  ❌ Android build failed!${NC}"
+ok() { echo -e "${GREEN}✅ $1${NC}"; }
+fail() {
+  echo -e "${RED}❌ $1${NC}"
   ERRORS=$((ERRORS + 1))
-  cd ..
-fi
-
+}
+run() {
+  local label=$1
+  shift
+  if "$@" >/dev/null 2>&1; then ok "$label"; else fail "$label (Befehl: $*)"; fi
+}
+
+echo "🚀 Release-Validierung: Merke und Male"
 echo ""
 
-# ==============================================================================
-# 5. FILE EXISTENCE CHECKS
-# ==============================================================================
-echo "📄 Required Files..."
-
-REQUIRED_FILES=(
-  "RELEASE_CHECKLIST.md"
-  "POSTMORTEM_ANDROID_CRASH.md"
-  ".github/PULL_REQUEST_TEMPLATE.md"
-  "utils/platform.ts"
-  "Android/release/1x1-trainer-v$PACKAGE_VERSION-signed.aab"
-)
-
-for file in "${REQUIRED_FILES[@]}"; do
-  if [ -f "$file" ]; then
-    echo -e "${GREEN}  ✅ $file${NC}"
+# 1. Versionen
+PKG_VERSION=$(node -p "require('./package.json').version")
+APP_VERSION=$(node -p "require('./app.json').expo.version")
+VERSION_CODE=$(node -p "require('./app.json').expo.android.versionCode")
+echo "📦 package.json v$PKG_VERSION · app.json v$APP_VERSION (versionCode $VERSION_CODE)"
+if [ "$PKG_VERSION" = "$APP_VERSION" ]; then ok "Versionen konsistent"; else fail "Version package.json ≠ app.json"; fi
+
+LATEST_TAG=$(git describe --tags --abbrev=0 --match 'v*' 2>/dev/null)
+if [ -n "$LATEST_TAG" ]; then
+  TAG_CODE=$(git show "$LATEST_TAG:app.json" 2>/dev/null | node -e "let s='';process.stdin.on('data',d=>s+=d).on('end',()=>{try{console.log(JSON.parse(s).expo.android.versionCode)}catch{console.log(0)}})")
+  if [ "$VERSION_CODE" -gt "$TAG_CODE" ]; then
+    ok "versionCode $VERSION_CODE > $TAG_CODE (letzter Release-Tag $LATEST_TAG)"
   else
-    echo -e "${YELLOW}  ⚠️  Missing: $file${NC}"
-    WARNINGS=$((WARNINGS + 1))
+    fail "versionCode $VERSION_CODE muss größer sein als $TAG_CODE (letzter Release-Tag $LATEST_TAG)"
+  fi
+  if git rev-parse -q --verify "refs/tags/v$PKG_VERSION" >/dev/null; then
+    fail "Tag v$PKG_VERSION existiert bereits — Version anheben"
   fi
-done
-
-echo ""
-
-# ==============================================================================
-# 6. GIT STATUS
-# ==============================================================================
-echo "🔀 Git Status..."
-
-if [ -n "$(git status --porcelain)" ]; then
-  echo -e "${YELLOW}⚠️  WARNING: You have uncommitted changes${NC}"
-  git status --short
-  WARNINGS=$((WARNINGS + 1))
-else
-  echo -e "${GREEN}✅ Working directory clean${NC}"
 fi
 
+if grep -q "## \[$PKG_VERSION\]" CHANGELOG.md; then ok "CHANGELOG-Eintrag für $PKG_VERSION vorhanden"; else fail "CHANGELOG-Eintrag für $PKG_VERSION fehlt"; fi
 echo ""
 
-# ==============================================================================
-# 7. DEPENDENCY AUDIT
-# ==============================================================================
-echo "🔒 Security Audit..."
-
-if npm audit --audit-level=high 2>&1 | grep -q "found 0 vulnerabilities"; then
-  echo -e "${GREEN}✅ No high-severity vulnerabilities${NC}"
+# 2. Code-Qualität (wie CI)
+echo "🔍 Code-Qualität"
+if grep -rnE "console\.(log|debug)" app components --include='*.ts' --include='*.tsx' | grep -v __tests__ >/dev/null; then
+  fail "console.log/debug in app/ oder components/"
 else
-  echo -e "${YELLOW}⚠️  WARNING: Vulnerabilities found${NC}"
-  npm audit --audit-level=high
-  WARNINGS=$((WARNINGS + 1))
+  ok "Kein console.log/debug in app/ und components/"
 fi
+run "ESLint" npm run lint
+run "TypeScript" npx tsc --noEmit
+run "SVG-Element-Counts" npm run validate:svg-counts
+echo ""
 
+# 3. Tests & Security
+echo "🧪 Tests & Security"
+run "Jest" npx jest --ci
+run "Audit-Gate (high)" node scripts/audit-gate.mjs --level=high
 echo ""
 
-# ==============================================================================
-# SUMMARY
-# ==============================================================================
-echo "=================================================="
-echo "📊 VALIDATION SUMMARY"
-echo "=================================================="
+# 4. Bundles
+echo "📱 Bundles"
+OUT=$(mktemp -d)
+run "Web-Export" npx expo export --platform web --output-dir "$OUT/web"
+run "Android-JS-Bundle" npx expo export --platform android --output-dir "$OUT/android"
+rm -rf "$OUT"
 echo ""
 
-if [ $ERRORS -eq 0 ] && [ $WARNINGS -eq 0 ]; then
-  echo -e "${GREEN}🎉 ALL CHECKS PASSED!${NC}"
-  echo ""
-  echo "✅ Ready for release v$PACKAGE_VERSION"
-  echo ""
-  echo "Next steps:"
-  echo "  1. Test on physical Android device"
-  echo "  2. Test on web browser"
-  echo "  3. Create git tag: git tag v$PACKAGE_VERSION"
-  echo "  4. Push: git push origin v$PACKAGE_VERSION"
-  echo "  5. Upload AAB to Play Store"
-  echo "  6. Deploy web: npm run deploy"
+if [ "$ERRORS" -eq 0 ]; then
+  echo -e "${GREEN}🎉 Release-Validierung bestanden — bereit für npm run build:android${NC}"
   exit 0
-elif [ $ERRORS -eq 0 ]; then
-  echo -e "${YELLOW}⚠️  CHECKS PASSED WITH WARNINGS${NC}"
-  echo ""
-  echo "Errors: $ERRORS"
-  echo "Warnings: $WARNINGS"
-  echo ""
-  echo "Review warnings before releasing."
-  exit 0
-else
-  echo -e "${RED}❌ VALIDATION FAILED${NC}"
-  echo ""
-  echo "Errors: $ERRORS"
-  echo "Warnings: $WARNINGS"
-  echo ""
-  echo "Fix errors before releasing."
-  exit 1
 fi
+echo -e "${RED}$ERRORS Prüfung(en) fehlgeschlagen${NC}"
+exit 1

From b2db5c75034db09a2d4f8210c675edefe13276e0 Mon Sep 17 00:00:00 2001
From: Claude <noreply@anthropic.com>
Date: Sat, 24 Oct 2026 07:28:25 +0000
Subject: [PATCH 2/3] chore: generisches prepare-release.sh entfernen
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Vorlage aus der Store-Ersteinrichtung, verwies auf nicht vorhandene Docs
(PLAY_STORE_METADATA.md, DEPLOYMENT_GUIDE.md). Release-Prüfung übernimmt
npm run validate.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AfCKFu51beRuwRbDYQRaJd
---
 CLAUDE.md                  |   3 +-
 package.json               |   1 -
 scripts/prepare-release.sh | 192 -------------------------------------
 3 files changed, 1 insertion(+), 195 deletions(-)
 delete mode 100755 scripts/prepare-release.sh

diff --git a/CLAUDE.md b/CLAUDE.md
index f1b301c..f47e403 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -62,8 +62,7 @@ npm run build:doctor               # Preflight-Checks vor lokalem Build (Disk/JD
 npm run build:android              # EAS Build (Android, Production)
 npm run build:android:preview      # EAS Build (Android, Preview APK)
 npm run build:android:local        # Lokaler EAS-Build (preview; :local:production für production)
-npm run prepare-release            # Vorbereitungs-Script für Release
-npm run validate                   # Vollständige Release-Validierung
+npm run validate                   # Release-Validierung (Versionen, CHANGELOG, Lint, tsc, Tests, Audit, Web+Android-Bundle)
 npm run deploy:ghpages             # Deployment auf GitHub Pages
 ```
 
diff --git a/package.json b/package.json
index beaf89b..83c4ea1 100644
--- a/package.json
+++ b/package.json
@@ -32,7 +32,6 @@
     "test:ci": "jest --ci --coverage --maxWorkers=2",
     "validate:svg-counts": "node scripts/validate-svg-counts.js",
     "validate": "./scripts/validate-release.sh",
-    "prepare-release": "./scripts/prepare-release.sh",
     "deploy:ghpages": "./scripts/deploy-ghpages.sh",
     "prepare": "husky install",
     "postinstall": "patch-package"
diff --git a/scripts/prepare-release.sh b/scripts/prepare-release.sh
deleted file mode 100755
index 58110f5..0000000
--- a/scripts/prepare-release.sh
+++ /dev/null
@@ -1,192 +0,0 @@
-#!/bin/bash
-
-# Play Store Release Preparation Script
-# Prüft ob alle notwendigen Assets und Konfigurationen vorhanden sind
-
-set -e
-
-echo "🔍 Play Store Release Preparation Check"
-echo "========================================"
-echo ""
-
-# Colors
-RED='\033[0;31m'
-GREEN='\033[0;32m'
-YELLOW='\033[1;33m'
-NC='\033[0m' # No Color
-
-ERRORS=0
-WARNINGS=0
-
-# Function to check file existence
-check_file() {
-    if [ -f "$1" ]; then
-        echo -e "${GREEN}✓${NC} $2 exists"
-        return 0
-    else
-        echo -e "${RED}✗${NC} $2 missing: $1"
-        ERRORS=$((ERRORS + 1))
-        return 1
-    fi
-}
-
-# Function to check directory
-check_dir() {
-    if [ -d "$1" ]; then
-        echo -e "${GREEN}✓${NC} $2 exists"
-        return 0
-    else
-        echo -e "${YELLOW}⚠${NC} $2 missing: $1"
-        WARNINGS=$((WARNINGS + 1))
-        return 1
-    fi
-}
-
-# Function to check JSON field
-check_json_field() {
-    local file=$1
-    local field=$2
-    local description=$3
-
-    if command -v jq &> /dev/null; then
-        local value=$(jq -r "$field" "$file" 2>/dev/null)
-        if [ "$value" != "null" ] && [ "$value" != "your-project-id-here" ] && [ ! -z "$value" ]; then
-            echo -e "${GREEN}✓${NC} $description: $value"
-            return 0
-        else
-            echo -e "${RED}✗${NC} $description not configured in $file"
-            ERRORS=$((ERRORS + 1))
-            return 1
-        fi
-    else
-        echo -e "${YELLOW}⚠${NC} jq not installed, skipping JSON validation"
-        WARNINGS=$((WARNINGS + 1))
-        return 1
-    fi
-}
-
-echo "📱 Checking App Assets..."
-echo "------------------------"
-check_file "assets/icons/app-icon.png" "App Icon (1024x1024)"
-check_file "assets/icons/adaptive-icon.png" "Adaptive Icon (1024x1024)"
-check_file "assets/icons/app-icon.svg" "Icon Source SVG"
-
-if check_dir "assets/icons/screenshots" "Screenshots Directory"; then
-    SCREENSHOT_COUNT=$(find assets/icons/screenshots -name "*.png" -o -name "*.jpg" 2>/dev/null | wc -l | tr -d ' ')
-    if [ "$SCREENSHOT_COUNT" -ge 2 ]; then
-        echo -e "${GREEN}✓${NC} Screenshots: $SCREENSHOT_COUNT found (minimum 2 required)"
-    else
-        echo -e "${RED}✗${NC} Screenshots: Only $SCREENSHOT_COUNT found (minimum 2 required)"
-        ERRORS=$((ERRORS + 1))
-    fi
-fi
-
-check_file "assets/icons/feature-graphic.png" "Feature Graphic (1024x500)" || true # Optional
-echo ""
-
-echo "⚙️  Checking App Configuration..."
-echo "--------------------------------"
-check_file "app.json" "app.json configuration"
-check_file "eas.json" "EAS build configuration"
-check_file "package.json" "package.json"
-
-if [ -f "app.json" ]; then
-    check_json_field "app.json" ".expo.version" "App Version"
-    check_json_field "app.json" ".expo.android.versionCode" "Android Version Code"
-    check_json_field "app.json" ".expo.android.package" "Android Package Name"
-    check_json_field "app.json" ".expo.extra.eas.projectId" "EAS Project ID"
-
-    # Check for placeholder values
-    if grep -q "your-project-id-here" app.json; then
-        echo -e "${RED}✗${NC} EAS Project ID still contains placeholder 'your-project-id-here'"
-        ERRORS=$((ERRORS + 1))
-    fi
-fi
-echo ""
-
-echo "📄 Checking Documentation..."
-echo "---------------------------"
-check_file "PRIVACY_POLICY.md" "Privacy Policy"
-check_file "docs/PLAY_STORE_METADATA.md" "Play Store Metadata"
-check_file "docs/DEPLOYMENT_GUIDE.md" "Deployment Guide"
-check_file "README.md" "README"
-echo ""
-
-echo "🔧 Checking Dependencies..."
-echo "--------------------------"
-if command -v eas &> /dev/null; then
-    echo -e "${GREEN}✓${NC} EAS CLI installed ($(eas --version))"
-else
-    echo -e "${RED}✗${NC} EAS CLI not installed"
-    echo "   Install with: npm install -g eas-cli"
-    ERRORS=$((ERRORS + 1))
-fi
-
-if command -v expo &> /dev/null; then
-    echo -e "${GREEN}✓${NC} Expo CLI installed"
-else
-    echo -e "${YELLOW}⚠${NC} Expo CLI not installed (optional)"
-    WARNINGS=$((WARNINGS + 1))
-fi
-
-if [ -d "node_modules" ]; then
-    echo -e "${GREEN}✓${NC} Node modules installed"
-else
-    echo -e "${RED}✗${NC} Node modules not installed"
-    echo "   Run: npm install"
-    ERRORS=$((ERRORS + 1))
-fi
-echo ""
-
-echo "🔐 Checking EAS Authentication..."
-echo "--------------------------------"
-if command -v eas &> /dev/null; then
-    if eas whoami &> /dev/null; then
-        echo -e "${GREEN}✓${NC} EAS authenticated as: $(eas whoami)"
-    else
-        echo -e "${RED}✗${NC} Not logged into EAS"
-        echo "   Run: eas login"
-        ERRORS=$((ERRORS + 1))
-    fi
-fi
-echo ""
-
-echo "📋 Pre-Release Checklist..."
-echo "--------------------------"
-echo "Manual checks (review before release):"
-echo ""
-echo "  [ ] Privacy Policy hosted and accessible"
-echo "  [ ] Support email configured"
-echo "  [ ] Play Console account created"
-echo "  [ ] Store listing text reviewed"
-echo "  [ ] Content rating completed"
-echo "  [ ] Data safety form filled"
-echo "  [ ] Screenshots show latest app version"
-echo "  [ ] All texts spell-checked"
-echo "  [ ] App tested on physical device"
-echo "  [ ] No TODOs in metadata files"
-echo ""
-
-echo "========================================"
-echo "📊 Summary"
-echo "========================================"
-echo -e "Errors:   ${RED}$ERRORS${NC}"
-echo -e "Warnings: ${YELLOW}$WARNINGS${NC}"
-echo ""
-
-if [ $ERRORS -eq 0 ]; then
-    echo -e "${GREEN}✓ All critical checks passed!${NC}"
-    echo ""
-    echo "Next steps:"
-    echo "1. Review manual checklist above"
-    echo "2. Run: eas build --platform android --profile production"
-    echo "3. Follow docs/DEPLOYMENT_GUIDE.md for upload"
-    echo ""
-    exit 0
-else
-    echo -e "${RED}✗ Please fix errors before proceeding with release${NC}"
-    echo ""
-    echo "See docs/DEPLOYMENT_GUIDE.md for guidance"
-    echo ""
-    exit 1
-fi

From 1e653e69cd1559e10406ee821c640adf4a5845c2 Mon Sep 17 00:00:00 2001
From: Claude <noreply@anthropic.com>
Date: Sat, 24 Oct 2026 07:30:07 +0000
Subject: [PATCH 3/3] fix(deps): zod-Advisory GHSA-mrhx-c7xc-m3w5 (high)
 adressieren

- Root-zod (via eslint-plugin-react-hooks) 4.4.3 -> 4.6.7, nur Lockfile
- zod@3 unter @expo/cli: kein gepatchter 3.x-Release, @expo/cli verlangt
  ^3.25.76 -> befristet bis 2026-12-31 in .audit-allowlist.json (Build-
  Tooling, nicht im App-Bundle; Muster wie node-forge, #348)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01AfCKFu51beRuwRbDYQRaJd
---
 .audit-allowlist.json | 6 ++++++
 package-lock.json     | 6 +++---
 2 files changed, 9 insertions(+), 3 deletions(-)

diff --git a/.audit-allowlist.json b/.audit-allowlist.json
index 2185829..6135b93 100644
--- a/.audit-allowlist.json
+++ b/.audit-allowlist.json
@@ -6,6 +6,12 @@
       "package": "node-forge",
       "reason": "RSA PKCS#1 v1.5: kein gepatchter Release; nur via expo -> @expo/cli (Build-Tooling)",
       "expires": "2026-12-31"
+    },
+    {
+      "id": "GHSA-mrhx-c7xc-m3w5",
+      "package": "zod",
+      "reason": "Speicher-DoS bei übergroßen Collections: nur noch zod@3 via expo -> @expo/cli (Build-Tooling, validiert lokale Konfiguration); kein gepatchter 3.x-Release, @expo/cli verlangt ^3.25.76. Root-zod (eslint-plugin-react-hooks) auf 4.6.7 gehoben.",
+      "expires": "2026-12-31"
     }
   ]
 }
diff --git a/package-lock.json b/package-lock.json
index 6d8db81..67597fb 100644
--- a/package-lock.json
+++ b/package-lock.json
@@ -14369,9 +14369,9 @@
       }
     },
     "node_modules/zod": {
-      "version": "4.4.3",
-      "resolved": "https://registry.npmjs.org/zod/-/zod-4.4.3.tgz",
-      "integrity": "sha512-ytENFjIJFl2UwYglde2jchW2Hwm4GJFLDiSXWdTrJQBIN9Fcyp7n4DhxJEiWNAJMV1/BqWfW/kkg71UDcHJyTQ==",
+      "version": "4.6.7",
+      "resolved": "https://registry.npmjs.org/zod/-/zod-4.6.7.tgz",
+      "integrity": "sha512-g8W2D2kU6a8untc053fX1uVBKzM7yqAxW/3zwk83+6RyF2+SKOuV+c0wBDhUwzV1PaGapmZH+rmcUzPf+3CGwg==",
       "dev": true,
       "license": "MIT",
       "funding": {