QR-Pay Simulation

Die komplette Strecke „Bezahlen per QR-Code“ zum Durchklicken. Es wird kein echtes Geld bewegt.

• Service 1: QR-Code-Manager. Codes mit Variablen anlegen, bearbeiten, deaktivieren, löschen. Gespeichert in einer Datenbank. Die Code-ID beginnt mit der Code-Art (PAY-7K3QX9, INFO-…). Die Art legt fest, welche Variablen ein Code hat.
• Service 2: Bezahlen. Ein PAY-Code trägt 12-stellige Kundennummer, Betrag und Gebühr signiert in sich. Scan mit dem Handy oder „Simulation starten“ (Handy als Modal) → Decoding mit Fortschritt → Betrag, Gebühr, Endbetrag → „Sofort bezahlen mit“ PayPal, Wero, Banking-App, Kreditkarte, Apple Pay, Google Pay, Klarna, SEPA → simulierter Checkout beim Anbieter → Webhook und Verbuchung → Rücksprung → Bestätigung mit Beleg.
• Weitere Code-Arten: KONTO (Kontostand nach Anmeldung mit Geburtsdatum, offenen Betrag direkt bezahlen, Sperre nach 3 Fehlversuchen), ADR (Adressänderung nach Anmeldung mit Geburtsdatum), DOK (Dokument wie eine Befreiungsbescheinigung einreichen nach Online-Ausweis, Video-Ident oder Bank-Ident, verschlüsselt gespeichert, im Manager abrufbar), INFO (verwalteter Link, z. B. auf /info). Geheime Variablen (Name, Geburtsdatum, Adresse, Kontostand) stehen nur in der Datenbank, nie im QR-Code.
• Statuslog pro Code: Jeder Schritt erscheint live neben dem Handy und gehört zu genau einer Komponente: Code-Manager, Handy-Frontend, Link-Management, Vorgangslogik, Zahlungslogik (Eigenentwicklung), Zahlungsdienst und Ident-Dienst (extern angebunden, hier simuliert) sowie Übergabe ans Fachsystem (Platzhalter, noch zu bauen). Der Verlauf lässt sich nach Komponente oder Art filtern und als Text kopieren. So sieht man pro Vorgang, wo programmiert werden muss.

Was alles simuliert wird

Fall	Wie auslösen	Ergebnis
Erfolg	Normal durchklicken	Beleg, Code wird „bezahlt“ (Einmal-Code)
Abbruch	„Abbrechen“ beim Anbieter	Code bleibt offen, „Erneut versuchen“
Ablehnung	Testfall „Ablehnen“ oder Karte 4000 0000 0000 0002	Fehlerseite, erneut zahlbar
Timeout	Testfall „Keine Antwort“	Nach 10 s abgebrochen; liegengebliebene Zahlungen laufen nach 15 Min. ab
Manipulierter Code	Betrag im QR-Inhalt ändern	Signaturprüfung schlägt fehl
Veralteter Code	Betrag im Manager ändern, alten QR scannen	„Code veraltet“
Deaktiviert / abgelaufen	Im Manager	Scan wird abgelehnt
Schon bezahlt	Code nach Zahlung erneut scannen	Zeigt nur den Beleg
Doppelzahlung	Zwei Checkouts parallel, beide bestätigen	Zweite wird erkannt und als Erstattung markiert

Was im QR-Code steht

https://<host>/s/<base64url(JSON)>.<HMAC-SHA256> mit JSON { v, id, t (Art), n (Version), d: { kundennummer, betrag, gebuehr, zweck } }. Die Daten sind lesbar, aber durch die Signatur nicht fälschbar. Beträge stehen in Cent. Bezahlt wird immer der Betrag aus der Datenbank.

Release Notes

Unter /release-notes stehen alle Features nach Tag und Stunde, neueste zuerst. Wie sie gepflegt werden, steht in AGENTS.md.

Lokal starten

Node 22.13 oder neuer.

npm install
npm start          # http://localhost:3000
npm test           # End-to-end-Test der ganzen Strecke

Lokal speichert die App in SQLite (data/qr.sqlite). Die QR-Codes zeigen automatisch auf die WLAN-Adresse des Rechners, damit ein Handy im selben WLAN sie scannen kann.

Vercel

Jeder Push auf main wird deployt. Auf Vercel braucht die App Postgres (z. B. Neon über den Storage-Tab des Projekts), die Tabellen legt sie beim ersten Aufruf selbst an.

Variable	Zweck
DATABASE_URL	Postgres-Verbindung (setzt Neon automatisch). Ohne: SQLite
CODE_SECRET	Schlüssel für die Signatur der QR-Codes. Unbedingt setzen
ADMIN_PASSWORD	Optional: schützt den Manager per Passwort (Bezahlseiten bleiben offen)
PUBLIC_URL	Optional: feste Adresse für die QR-Codes

Aufbau

src/db.js         Datenbank (Postgres oder SQLite), Tabellen code_types, codes, payments, events
src/codes.js      Service 1: Code-Arten, Codes, Signatur, Statuslog
src/payments.js   Service 2: Decoding-Schritte, Zahlung starten, Anbieter-Ergebnis verbuchen
src/flows.js      Anmeldung (Geburtsdatum, Ident), Kontostand, Adressänderung, Dokument-Upload (AES-256-GCM)
src/app.js        HTTP-Routen und API
src/views.js      HTML-Seiten
src/releaseNotes.js  Inhalt der Seite /release-notes (Pflege siehe AGENTS.md)
public/           manager.js, pay.js + flows.js (Handy), provider.js (Anbieter-Checkouts), style.css
api/index.js      Einstieg für Vercel