Update DatabaseArticleManager.php

Reviewed-on: #57

README.md

@@ -36,6 +36,9 @@
 - JavaScript wird verwendet, um im erweitertem Beitragseditor clientseitig einzelne Content-Boxen erstellen und löschen 
   zu können. 
 - JavaScript wird ebenfalls verwendet, um in die Suchergebnisse clientseitig zu sortieren. 
+- Die Kommentarfunktion ist zusätzlich auch ohne JavaScript nutzbar. Kommentare und Antworten können auch ohne JavaScript erstellt werden. 
+- Eigene Kommentare und Antworten können bearbeitet und gelöscht werden. Die Bearbeitung und das Löschen funktionieren ebenfalls ohne JavaScript über normale Formulare und serverseitige Verarbeitung.
+
 
 ## Sonstiges
 - Das Datenschema befindet sich unter /planung/Datenschema.pdf

content/createArticle.php

@@ -4,12 +4,30 @@ if (!isset($_SESSION["user"])) {
     header("Location: index.php?pfad=login");
     exit();
 }
+
+// -------------------------------------------------------------------------
+// Aktuelle Blockliste ermitteln: Session-Fallback (nach Validierungsfehler
+// oder Zwischen-Submit "add_block"/"delete_block") oder leeres Array (Start).
+// -------------------------------------------------------------------------
+$rawContent = '[]';
+if (isset($_SESSION['old_content']) && !empty($_SESSION['old_content'])) {
+    $rawContent = $_SESSION['old_content'];
+    unset($_SESSION['old_content']);
+}
+
+$blocks = json_decode($rawContent, true);
+if (!is_array($blocks)) {
+    $blocks = [];
+}
+$blocks = array_values($blocks); // sequentielle Indizes 0..n-1 sicherstellen
 ?>
 <!--
     Seite: Beitrag erstellen
     Inhalt: Formular für die Erstellung eines neuen Beitrags
 -->
-<form method="post" action="php/controller/createArticle-controller.php" id="editor-form" class="article-editor-scope.editor-container article-editor-scope editor-container">
+<form method="post" action="php/controller/createArticle-controller.php" id="editor-form" enctype="multipart/form-data" class="article-editor-scope.editor-container article-editor-scope editor-container">
+
+    <?php csrf_field(); ?>
 
     <main class="editor-main">
         <?php include_once "includes/alertMessages.php"?>
@@ -18,27 +36,49 @@ if (!isset($_SESSION["user"])) {
                value="<?php echo htmlspecialchars($_SESSION['old_title'] ?? ''); unset($_SESSION['old_title']); ?>"
                placeholder="Titel hier eingeben" required>
 
-        <!-- Hier werden die dynamischen divs via JavaScript eingefügt -->
-        <div id="block-container"></div>
+        <!--
+            Content-Blöcke: werden serverseitig als echte, benannte Formularfelder gerendert
+            (blocks[i][type], blocks[i][text] bzw. blocks[i][image]). Dadurch funktioniert das
+            Hinzufügen/Entfernen von Blöcken und der Bild-Upload auch ganz ohne JavaScript über
+            einen normalen Formular-Submit. Ist JavaScript aktiv, fängt js/editor.js diese
+            Submits ab und erledigt dieselbe Änderung lokal im DOM, ohne den Server zu belasten.
+        -->
+        <div id="block-container">
+            <?php foreach ($blocks as $i => $block): ?>
+                <?php
+                $blockType = $block['type'] ?? '';
+                if ($blockType !== 'text' && $blockType !== 'image') {
+                    continue; // unbekannter/kaputter Block wird übersprungen
+                }
+                ?>
+                <div class="editor-block article-editor-scope" data-index="<?php echo (int)$i; ?>">
+                    <input type="hidden" name="blocks[<?php echo (int)$i; ?>][type]" value="<?php echo htmlspecialchars($blockType); ?>">
 
-        <!-- Plus-Button und das Pop-up-Menü -->
-        <div id="add-block-control" class="article-editor-scope add-block-control">
-            <button type="button" id="plus-button" class="article-editor-scope plus-button">+</button>
-            <div id="block-popup" class="article-editor-scope block-popup hidden">
-                <button type="button" data-type="text">Textblock</button>
-                <button type="button" data-type="image">Bild einfügen</button>
-            </div>
+                    <?php if ($blockType === 'text'): ?>
+                        <textarea name="blocks[<?php echo (int)$i; ?>][text]"
+                                  placeholder="Schreibe deinen Textblock..."><?php echo htmlspecialchars($block['value'] ?? ''); ?></textarea>
+                    <?php else: /* image */ ?>
+                        <?php if (!empty($block['value'])): ?>
+                            <img src="<?php echo htmlspecialchars($block['value']); ?>"
+                                 class="block-image-preview"
+                                 style="max-width:200px;display:block;margin-top:10px;">
+                            <input type="hidden" name="blocks[<?php echo (int)$i; ?>][existing_image]" value="<?php echo htmlspecialchars($block['value']); ?>">
+                        <?php endif; ?>
+                        <input type="file" name="blocks[<?php echo (int)$i; ?>][image]" accept="image/*">
+                    <?php endif; ?>
+
+                    <button type="submit" name="editor_action" value="delete_block:<?php echo (int)$i; ?>" class="delete-block-btn">✕</button>
+                </div>
+            <?php endforeach; ?>
         </div>
 
-        <!-- Unsichtbares Textfeld, das die JSON-Daten hält und an den Controller postet -->
-        <textarea id="content" name="content" style="display:none;"><?php
-            if (isset($_SESSION['old_content']) && !empty($_SESSION['old_content'])){
-                echo htmlspecialchars($_SESSION['old_content']);
-                unset($_SESSION['old_content']);
-            } else {
-                echo '[]'; // Standardmäßig ein leeres JSON-Array
-            }
-            ?></textarea>
+        <div id="add-block-control" class="article-editor-scope add-block-control">
+            <button type="button" id="plus-button" class="article-editor-scope plus-button">+</button>
+            <div id="block-popup" class="article-editor-scope block-popup">
+                <button type="submit" name="editor_action" value="add_text" data-type="text">Textblock</button>
+                <button type="submit" name="editor_action" value="add_image" data-type="image">Bild einfügen</button>
+            </div>
+        </div>
     </main>
 
     <!-- Seitenleiste -->
@@ -268,4 +308,4 @@ if (!isset($_SESSION["user"])) {
 
     </aside>
 
-</form>
+</form>

content/profile.php

@@ -18,6 +18,8 @@ $isEditMode = (isset($_GET["edit"]) && $_GET["edit"] === "1") || !empty($error);
 
             <form method="post" action="index.php?pfad=profile">
 
+                <?php csrf_field(); ?>
+
                 <label class="input-label">Vorname</label>
                 <input type="text"
                        name="vorname"
@@ -82,9 +84,10 @@ $isEditMode = (isset($_GET["edit"]) && $_GET["edit"] === "1") || !empty($error);
             <br>
 
             <form action="php/controller/deleteAccount-controller.php" method="POST">
+                <?php csrf_field(); ?>
                 <button type="submit"
                         class="button"
-                        onclick="return confirm('Möchtest du deinen Account wirklich unwiderruflich löschen?');">
+                        onclick="return confirm('Möchtest du deinen Account und alle deine Beiträge wirklich unwiderruflich löschen?');">
                     Account löschen
                 </button>
             </form>
@@ -155,6 +158,7 @@ $isEditMode = (isset($_GET["edit"]) && $_GET["edit"] === "1") || !empty($error);
                             </a>
 
                             <form action="php/controller/deleteArticle-controller.php" method="POST">
+                                <?php csrf_field(); ?>
                                 <input type="hidden"
                                        name="id"
                                        value="<?php echo htmlspecialchars($userArticle->getID()); ?>">

content/showArticle.php

@@ -5,6 +5,34 @@ $repliesByParent = [];
 $articleObj = null;
 
 include_once 'php/controller/showArticle-controller.php';
+/*
+ * Ermittelt, ob ohne JavaScript auf einen Kommentar
+ * geantwortet werden soll.
+ */
+$replyTo = filter_input(
+        INPUT_GET,
+        "reply_to",
+        FILTER_VALIDATE_INT
+);
+
+$replyAuthor = null;
+
+if ($replyTo !== false && $replyTo !== null) {
+    foreach ($mainComments as $mainComment) {
+        if ($mainComment->getId() === $replyTo) {
+            $replyAuthor = $mainComment->getAuthor();
+            break;
+        }
+    }
+}
+
+/*
+ * Eine Antwort darf nur auf einen existierenden
+ * Hauptkommentar geschrieben werden.
+ */
+if ($replyAuthor === null) {
+    $replyTo = null;
+}
 ?>
 <!--
      Seite: Anzeige für Beiträge
@@ -17,28 +45,31 @@ include_once 'php/controller/showArticle-controller.php';
     <!-- Metadaten & Titel -->
     <div class="article-view-top-section">
 
-        <div class="article-view-top-section">
+        <div class="category-and-likes-row">
+            <?php if (isset($category) && !empty($category)): ?>
+                <span class="article-view-category"><?php echo htmlspecialchars($category); ?></span>
+            <?php endif; ?>
 
-            <div class="category-and-likes-row">
-                <?php if (isset($category) && !empty($category)): ?>
-                    <span class="article-view-category"><?php echo htmlspecialchars($category); ?></span>
-                <?php endif; ?>
+            <!-- Like-Anzeige und dynamischer Like-Button  -->
+            <?php if (isset($articleObj) && $articleObj !== null): ?>
+                <div class="article-view-likes">
+                    <span>❤️ <span class="like-count"><?php echo $articleObj->getLikeCount(); ?></span></span>
 
-                <!-- Like-Anzeige und dynamischer Like-Button  -->
-                <?php if (isset($articleObj) && $articleObj !== null): ?>
-                    <div class="article-view-likes">
-                        <span>❤️ <span class="like-count"><?php echo $articleObj->getLikeCount(); ?></span></span>
-
-                        <?php if (isset($_SESSION["user_email"])): ?>
-                            <a href="php/controller/like-controller.php?id=<?php echo $articleObj->getId(); ?>" class="like-toggle-btn">
+                    <?php if (isset($_SESSION["user_email"])): ?>
+                        <form method="post"
+                              action="php/controller/like-controller.php?id=<?php echo $articleObj->getId(); ?>"
+                              class="like-toggle-form">
+                            <?php csrf_field(); ?>
+                            <button type="submit" class="like-toggle-btn">
                                 <?php echo $articleObj->hasLiked($_SESSION["user_email"]) ? '👎 Gefällt mir nicht mehr' : '👍 Gefällt mir'; ?>
-                            </a>
-                        <?php else: ?>
-                            <span class="login-hint">(Anmelden zum Liken)</span>
-                        <?php endif; ?>
-                    </div>
-                <?php endif; ?>
-            </div>
+                            </button>
+                        </form>
+                    <?php else: ?>
+                        <span class="login-hint">(Anmelden zum Liken)</span>
+                    <?php endif; ?>
+                </div>
+            <?php endif; ?>
+        </div>
 
         <h1 class="article-view-title">
             <?php if (isset($title)) { echo htmlspecialchars($title); } ?>
@@ -106,39 +137,276 @@ include_once 'php/controller/showArticle-controller.php';
         </div>
     <?php endif; ?>
 
-    <section class="article-comments-section">
+    <section class="article-comments-section" id="comments">
         <h2>Kommentare</h2>
 
+        <?php if (isset($_SESSION["comment_message"])): ?>
+            <div class="alert-message <?php
+            echo ($_SESSION["comment_message_type"] ?? "") === "success"
+                    ? "is-success"
+                    : "is-error";
+            ?>">
+                <?php echo htmlspecialchars($_SESSION["comment_message"]); ?>
+            </div>
+
+            <?php
+            unset($_SESSION["comment_message"]);
+            unset($_SESSION["comment_message_type"]);
+            ?>
+        <?php endif; ?>
+
         <div id="comments-list">
             <?php if (!empty($mainComments)): ?>
                 <?php foreach ($mainComments as $comment): ?>
-                    <div class="comment-item" data-comment-id="<?php echo htmlspecialchars($comment->getId()); ?>">
-                        <p>
-                            <strong><?php echo htmlspecialchars($comment->getAuthor()); ?></strong>
-                            <span><?php echo htmlspecialchars($comment->getCreated()); ?></span>
-                        </p>
+                    <div class="comment-item"
+                         data-comment-id="<?php echo htmlspecialchars(
+                                 (string) $comment->getId()
+                         ); ?>">
 
-                        <p><?php echo nl2br(htmlspecialchars($comment->getContent())); ?></p>
+                        <?php
+                        $isDeleted = $comment->getContent()
+                                === "Dieser Kommentar wurde gelöscht.";
+                        ?>
+
+                        <?php if ($isDeleted): ?>
+
+                            <p class="deleted-comment">
+                                Dieser Kommentar wurde gelöscht.
+                            </p>
+
+                        <?php else: ?>
+
+                            <p>
+                                <strong>
+                                    <?php echo htmlspecialchars($comment->getAuthor()); ?>
+                                </strong>
+
+                                <span>
+                <?php echo htmlspecialchars($comment->getCreated()); ?>
+            </span>
+                            </p>
+
+                            <p>
+                                <?php
+                                echo nl2br(
+                                        htmlspecialchars($comment->getContent())
+                                );
+                                ?>
+                            </p>
+
+                            <?php if (
+                                    isset($_SESSION["user_email"])
+                                    && $_SESSION["user_email"] === $comment->getAuthor()
+                            ): ?>
+                                <details class="edit-comment-details">
+                                    <summary class="edit-comment-button">
+                                        Kommentar bearbeiten
+                                    </summary>
+
+                                    <form method="post"
+                                          action="index.php?pfad=updateComment"
+                                          class="edit-comment-form">
+
+                                        <?php csrf_field(); ?>
+
+                                        <input type="hidden"
+                                               name="comment_id"
+                                               value="<?php echo htmlspecialchars(
+                                                       (string) $comment->getId()
+                                               ); ?>">
+
+                                        <input type="hidden"
+                                               name="article_id"
+                                               value="<?php echo htmlspecialchars(
+                                                       (string) $comment->getArticleId()
+                                               ); ?>">
+
+                                        <label for="edit-comment-<?php
+                                        echo htmlspecialchars((string) $comment->getId());
+                                        ?>">
+                                            Kommentar bearbeiten
+                                        </label>
+
+                                        <textarea
+                                                id="edit-comment-<?php
+                                                echo htmlspecialchars((string) $comment->getId());
+                                                ?>"
+                                                name="content"
+                                                required><?php echo htmlspecialchars(
+                                                    $comment->getContent()
+                                            ); ?></textarea>
+
+                                        <button type="submit" class="button">
+                                            Änderungen speichern
+                                        </button>
+                                    </form>
+                                </details>
+
+                                <form method="post"
+                                      action="index.php?pfad=deleteComment"
+                                      class="delete-comment-form">
+
+                                    <?php csrf_field(); ?>
+
+                                    <input type="hidden"
+                                           name="comment_id"
+                                           value="<?php echo htmlspecialchars(
+                                                   (string) $comment->getId()
+                                           ); ?>">
+
+                                    <input type="hidden"
+                                           name="article_id"
+                                           value="<?php echo htmlspecialchars(
+                                                   (string) $comment->getArticleId()
+                                           ); ?>">
+
+                                    <button type="submit"
+                                            class="delete-comment-button"
+                                            onclick="return confirm('Möchtest du diesen Kommentar wirklich löschen?');">
+                                        Kommentar löschen
+                                    </button>
+                                </form>
+
+                            <?php endif; ?>
+
+                            <?php if (isset($_SESSION["user_email"])): ?>
+
+                                <a href="index.php?pfad=<?php
+                                echo urlencode($_GET["pfad"] ?? "showArticle");
+                                ?>&id=<?php
+                                echo urlencode((string) $comment->getArticleId());
+                                ?>&reply_to=<?php
+                                echo urlencode((string) $comment->getId());
+                                ?>#comment-form"
+                                   class="reply-button"
+                                   data-comment-id="<?php echo htmlspecialchars(
+                                           (string) $comment->getId()
+                                   ); ?>"
+                                   data-author="<?php echo htmlspecialchars(
+                                           $comment->getAuthor()
+                                   ); ?>">
+
+                                    Antworten
+                                </a>
+
+                            <?php endif; ?>
 
-                        <?php if (isset($_SESSION["user_email"])): ?>
-                            <button type="button"
-                                    class="reply-button"
-                                    data-comment-id="<?php echo htmlspecialchars($comment->getId()); ?>"
-                                    data-author="<?php echo htmlspecialchars($comment->getAuthor()); ?>">
-                                Antworten
-                            </button>
                         <?php endif; ?>
 
                         <div class="comment-replies">
                             <?php if (isset($repliesByParent[$comment->getId()])): ?>
                                 <?php foreach ($repliesByParent[$comment->getId()] as $reply): ?>
                                     <div class="comment-item comment-reply">
-                                        <p>
-                                            <strong><?php echo htmlspecialchars($reply->getAuthor()); ?></strong>
-                                            <span><?php echo htmlspecialchars($reply->getCreated()); ?></span>
-                                        </p>
 
-                                        <p><?php echo nl2br(htmlspecialchars($reply->getContent())); ?></p>
+                                        <?php
+                                        $isReplyDeleted = $reply->getContent()
+                                                === "Dieser Kommentar wurde gelöscht.";
+                                        ?>
+
+                                        <?php if ($isReplyDeleted): ?>
+
+                                            <p class="deleted-comment">
+                                                Dieser Kommentar wurde gelöscht.
+                                            </p>
+
+                                        <?php else: ?>
+
+                                            <p>
+                                                <strong>
+                                                    <?php echo htmlspecialchars($reply->getAuthor()); ?>
+                                                </strong>
+
+                                                <span>
+                    <?php echo htmlspecialchars($reply->getCreated()); ?>
+                </span>
+                                            </p>
+
+                                            <p>
+                                                <?php
+                                                echo nl2br(
+                                                        htmlspecialchars($reply->getContent())
+                                                );
+                                                ?>
+                                            </p>
+
+                                            <?php if (
+                                                    isset($_SESSION["user_email"])
+                                                    && $_SESSION["user_email"] === $reply->getAuthor()
+                                            ): ?>
+
+                                                <details class="edit-comment-details">
+                                                    <summary class="edit-comment-button">
+                                                        Antwort bearbeiten
+                                                    </summary>
+
+                                                    <form method="post"
+                                                          action="index.php?pfad=updateComment"
+                                                          class="edit-comment-form">
+
+                                                        <?php csrf_field(); ?>
+
+                                                        <input type="hidden"
+                                                               name="comment_id"
+                                                               value="<?php echo htmlspecialchars(
+                                                                       (string) $reply->getId()
+                                                               ); ?>">
+
+                                                        <input type="hidden"
+                                                               name="article_id"
+                                                               value="<?php echo htmlspecialchars(
+                                                                       (string) $reply->getArticleId()
+                                                               ); ?>">
+
+                                                        <label for="edit-reply-<?php
+                                                        echo htmlspecialchars((string) $reply->getId());
+                                                        ?>">
+                                                            Antwort bearbeiten
+                                                        </label>
+
+                                                        <textarea
+                                                                id="edit-reply-<?php
+                                                                echo htmlspecialchars((string) $reply->getId());
+                                                                ?>"
+                                                                name="content"
+                                                                required><?php echo htmlspecialchars(
+                                                                    $reply->getContent()
+                                                            ); ?></textarea>
+
+                                                        <button type="submit" class="button">
+                                                            Änderungen speichern
+                                                        </button>
+                                                    </form>
+                                                </details>
+
+                                                <form method="post"
+                                                      action="index.php?pfad=deleteComment"
+                                                      class="delete-comment-form">
+
+                                                    <?php csrf_field(); ?>
+
+                                                    <input type="hidden"
+                                                           name="comment_id"
+                                                           value="<?php echo htmlspecialchars(
+                                                                   (string) $reply->getId()
+                                                           ); ?>">
+
+                                                    <input type="hidden"
+                                                           name="article_id"
+                                                           value="<?php echo htmlspecialchars(
+                                                                   (string) $reply->getArticleId()
+                                                           ); ?>">
+
+                                                    <button type="submit"
+                                                            class="delete-comment-button"
+                                                            onclick="return confirm('Möchtest du diesen Kommentar wirklich löschen?');">
+                                                        Kommentar löschen
+                                                    </button>
+                                                </form>
+
+                                            <?php endif; ?>
+
+                                        <?php endif; ?>
+
                                     </div>
                                 <?php endforeach; ?>
                             <?php endif; ?>
@@ -153,17 +421,48 @@ include_once 'php/controller/showArticle-controller.php';
         </div>
 
         <?php if (isset($_SESSION["user_email"])): ?>
-            <form id="comment-form">
+            <form id="comment-form"
+                  method="post"
+                  action="php/ajax/add-comment.php">
+
+                <?php csrf_field(); ?>
+
                 <input type="hidden"
                        name="article_id"
-                       value="<?php echo htmlspecialchars($_GET["id"] ?? ""); ?>">
+                       value="<?php echo htmlspecialchars(
+                               (string) ($_GET["id"] ?? "")
+                       ); ?>">
 
                 <input type="hidden"
                        name="parent_comment_id"
                        id="parent-comment-id"
-                       value="">
+                       value="<?php echo $replyTo !== null
+                               ? htmlspecialchars((string) $replyTo)
+                               : "";
+                       ?>">
 
-                <p id="reply-info" class="reply-info" style="display: none;"></p>
+                <p id="reply-info"
+                   class="reply-info"
+                        <?php if ($replyAuthor === null): ?>
+                            style="display: none;"
+                        <?php endif; ?>>
+
+                    <?php if ($replyAuthor !== null): ?>
+                        Antwort auf <?php echo htmlspecialchars($replyAuthor); ?>
+
+                        <a href="index.php?pfad=<?php
+                        echo urlencode($_GET["pfad"] ?? "showArticle");
+                        ?>&id=<?php
+                        echo urlencode((string) ($_GET["id"] ?? ""));
+                        ?>#comment-form">
+                            Abbrechen
+                        </a>
+                    <?php endif; ?>
+                </p>
+
+                <label for="comment-content">
+                    Kommentar
+                </label>
 
                 <textarea name="content"
                           id="comment-content"

content/updateArticle.php

@@ -5,13 +5,30 @@ if (!isset($_SESSION["user"])) {
     exit();
 }
 include_once 'php/controller/showArticle-controller.php';
+
+// Aktuelle Blockliste ermitteln:
+$rawContent = '[]';
+if (isset($_SESSION['old_content']) && !empty($_SESSION['old_content'])) {
+    $rawContent = $_SESSION['old_content'];
+    unset($_SESSION['old_content']);
+} elseif (isset($content) && !empty($content)) {
+    $rawContent = $content;
+}
+
+$blocks = json_decode($rawContent, true);
+if (!is_array($blocks)) {
+    $blocks = [];
+}
+$blocks = array_values($blocks);
 ?>
 <!--
-    Seite: Beitrag erstellen
-    Inhalt: Formular für die Erstellung eines neuen Beitrags
+    Seite: Beitrag bearbeiten
+    Inhalt: Formular für die Bearbeitung eines Beitrags
 -->
 <form method="post" action="php/controller/updateArticle-controller.php?id=<?php if(isset($id) && !empty($id)){echo htmlspecialchars($id);}else{$_SESSION["message"] = "missing_id";} ?>" id="editor-form" enctype="multipart/form-data" class="article-editor-scope.editor-container article-editor-scope editor-container">
 
+    <?php csrf_field(); ?>
+
     <main class="editor-main">
         <?php include_once "includes/alertMessages.php"?>
 
@@ -27,32 +44,49 @@ include_once 'php/controller/showArticle-controller.php';
                ?>"
                placeholder="Titel hier eingeben" required>
 
-        <!-- Hier werden die dynamischen divs via JavaScript eingefügt -->
-        <div id="block-container"></div>
+        <!--
+            Content-Blöcke: werden serverseitig als echte, benannte Formularfelder gerendert
+            (blocks[i][type]...). Dadurch funktioniert das Hinzufügen/Entfernen von Blöcken und
+            der Bild-Upload auch ganz ohne JavaScript über einen normalen Formular-Submit.
+            Ist JavaScript aktiv, fängt js/editor.js diese Submits ab und erledigt dieselbe
+            Änderung lokal im DOM, ohne den Server zu belasten.
+        -->
+        <div id="block-container">
+            <?php foreach ($blocks as $i => $block): ?>
+                <?php
+                $blockType = $block['type'] ?? '';
+                if ($blockType !== 'text' && $blockType !== 'image') {
+                    continue; // unbekannter/kaputter Block wird übersprungen
+                }
+                ?>
+                <div class="editor-block article-editor-scope" data-index="<?php echo (int)$i; ?>">
+                    <input type="hidden" name="blocks[<?php echo (int)$i; ?>][type]" value="<?php echo htmlspecialchars($blockType); ?>">
 
-        <!-- Plus-Button und das Pop-up-Menü -->
-        <div id="add-block-control" class="article-editor-scope add-block-control">
-            <button type="button" id="plus-button" class="article-editor-scope plus-button">+</button>
-            <div id="block-popup" class="article-editor-scope block-popup hidden">
-                <button type="button" data-type="text">Textblock</button>
-                <button type="button" data-type="image">Bild einfügen</button>
-            </div>
+                    <?php if ($blockType === 'text'): ?>
+                        <textarea name="blocks[<?php echo (int)$i; ?>][text]"
+                                  placeholder="Schreibe deinen Textblock..."><?php echo htmlspecialchars($block['value'] ?? ''); ?></textarea>
+                    <?php else: /* image */ ?>
+                        <?php if (!empty($block['value'])): ?>
+                            <img src="<?php echo htmlspecialchars($block['value']); ?>"
+                                 class="block-image-preview"
+                                 style="max-width:200px;display:block;margin-top:10px;">
+                            <input type="hidden" name="blocks[<?php echo (int)$i; ?>][existing_image]" value="<?php echo htmlspecialchars($block['value']); ?>">
+                        <?php endif; ?>
+                        <input type="file" name="blocks[<?php echo (int)$i; ?>][image]" accept="image/*">
+                    <?php endif; ?>
+
+                    <button type="submit" name="editor_action" value="delete_block:<?php echo (int)$i; ?>" class="delete-block-btn">✕</button>
+                </div>
+            <?php endforeach; ?>
         </div>
 
-        <!-- Unsichtbares Textfeld, das die JSON-Daten hält und an den Controller postet -->
-        <textarea id="content" name="content" style="display:none;"><?php
-            if (isset($_SESSION['old_content']) && !empty($_SESSION['old_content'])){
-                echo htmlspecialchars($_SESSION['old_content']);
-                unset($_SESSION['old_content']);
-            }elseif (isset($content) && !empty($content)){
-                echo htmlspecialchars($content);
-            } else {
-                echo '[]';
-            }
-            ?></textarea>
-
-        <!-- unsichtbares Input, um die zu löschenden Bilder zu übergeben-->
-        <input type="hidden" id="deleted-images" name="deleted_images" value="[]">
+        <div id="add-block-control" class="article-editor-scope add-block-control">
+            <button type="button" id="plus-button" class="article-editor-scope plus-button">+</button>
+            <div id="block-popup" class="article-editor-scope block-popup">
+                <button type="submit" name="editor_action" value="add_text" data-type="text">Textblock</button>
+                <button type="submit" name="editor_action" value="add_image" data-type="image">Bild einfügen</button>
+            </div>
+        </div>
     </main>
 
     <!-- Seitenleiste -->
@@ -289,4 +323,4 @@ include_once 'php/controller/showArticle-controller.php';
 
     </aside>
 
-</form>
+</form>

css/navbar.css

@@ -250,7 +250,7 @@ CSS für die navbar
         padding: 2rem 1rem;
         box-shadow: 2px 0 10px rgba(0,0,0,0.5);
         overflow-y: auto;
-        
+
         /* Genug Abstand oben rechts, damit Links nicht hinter dem X liegen */
         padding: 4rem 1.5rem 2rem 1.5rem;
     }
@@ -285,6 +285,32 @@ CSS für die navbar
         border-bottom: 1px solid #333d43;
     }
 
+    .nav__logout-form {
+        display: contents;
+        margin: 0;
+    }
+
+    .nav__logout-form .nav__button {
+        width: 100%;
+        height: 100%;
+    }
+
+    .nav__mobile-logout-button {
+        color: #fff;
+        text-decoration: none;
+        font-size: 1.2rem;
+        font-weight: 600;
+        display: block;
+        width: 100%;
+        text-align: left;
+        padding: 0.5rem 1rem;
+        border: none;
+        border-bottom: 1px solid #333d43;
+        background: none;
+        cursor: pointer;
+        font-family: inherit;
+    }
+
     .nav__mobile-submenu {
         display: block;
         list-style: none;

includes/alertMessages.php

@@ -89,6 +89,12 @@
         Es ist ein Datenbankfehler aufgetreten. Bitte versuche es erneut.
     </p>
 <?php endif; ?>
+<?php if (isset($_SESSION["message"]) && $_SESSION["message"] == "invalid_csrf_token"): ?>
+    <p class="alert-message is-error">
+        Deine Sitzung ist abgelaufen oder die Anfrage konnte nicht überprüft werden.
+        Bitte lade die Seite neu und versuche es erneut.
+    </p>
+<?php endif; ?>
 <?php
 unset($_SESSION["message"]);
-?>
+?>

includes/article-block-helper.php

@@ -0,0 +1,69 @@
+<?php
+/**
+ * Baut die Blockliste aus den POST-Daten (blocks[i][type], blocks[i][text],
+ * blocks[i][existing_image]) und ggf. hochgeladenen Dateien (blocks[i][image])
+ * zusammen. Läuft bei JEDEM Submit (Zwischen-Schritt "Block hinzufügen/löschen"
+ * UND finales Speichern/Veröffentlichen), damit neu ausgewählte Bilder in jedem
+ * Fall persistiert werden, bevor PHP die temporäre Upload-Datei nach
+ * Request-Ende verwirft.
+ *
+ * Wird sowohl vom createArticle- als auch vom updateArticle-Controller genutzt.
+ *
+ * @param array  $postBlocks  $_POST['blocks'] ?? []
+ * @param array  $fileBlocks  $_FILES['blocks'] ?? []
+ * @param string $uploadDir   absoluter Pfad zum uploads-Verzeichnis (mit trailing slash)
+ * @return array Liste von ['type' => 'text'|'image', 'value' => string]
+ */
+function rebuildBlocksFromPost(array $postBlocks, array $fileBlocks, string $uploadDir): array {
+    $allowedExtensions = ['jpg', 'jpeg', 'png', 'gif', 'webp'];
+
+    $keys = array_keys($postBlocks);
+    if (isset($fileBlocks['name']) && is_array($fileBlocks['name'])) {
+        $keys = array_unique(array_merge($keys, array_keys($fileBlocks['name'])));
+    }
+    sort($keys, SORT_NUMERIC);
+
+    $blocks = [];
+
+    foreach ($keys as $key) {
+        $type = $postBlocks[$key]['type'] ?? null;
+
+        if ($type === 'text') {
+            $blocks[] = [
+                'type'  => 'text',
+                'value' => $postBlocks[$key]['text'] ?? '',
+            ];
+        } elseif ($type === 'image') {
+            // Vorbelegung: bereits vorhandenes Server-Bild (falls Datei nicht ersetzt wird)
+            $value = $postBlocks[$key]['existing_image'] ?? '';
+
+            $hasUpload = isset($fileBlocks['error'][$key]['image'])
+                && $fileBlocks['error'][$key]['image'] === UPLOAD_ERR_OK;
+
+            if ($hasUpload) {
+                $tmpName      = $fileBlocks['tmp_name'][$key]['image'];
+                $originalName = $fileBlocks['name'][$key]['image'];
+                $extension    = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
+                if (!in_array($extension, $allowedExtensions, true)) {
+                    $extension = 'jpg';
+                }
+
+                $fileName    = 'img_' . uniqid() . '.' . $extension;
+                $destination = $uploadDir . $fileName;
+
+                if (move_uploaded_file($tmpName, $destination)) {
+                    $value = 'uploads/' . $fileName;
+                }
+                // Bei Fehler: alter Wert (falls vorhanden) bleibt erhalten, Block wird nicht verworfen
+            }
+
+            $blocks[] = [
+                'type'  => 'image',
+                'value' => $value,
+            ];
+        }
+        // unbekannter/fehlender type -> Block wird ignoriert
+    }
+
+    return $blocks;
+}

includes/csrf.php

@@ -0,0 +1,88 @@
+<?php
+/**
+ * CSRF-Schutz nach dem Synchronizer-Token-Pattern.
+ *
+ * Pro Session wird ein einziges, zufälliges Token erzeugt,
+ * das in jedem Formular als verstecktes Feld mitgeschickt und bei jeder
+ * zustandsändernden Anfrage serverseitig mit dem Session-Token verglichen
+ * wird.
+ *
+ * @author Niklas Ortmann
+ */
+
+if (session_status() === PHP_SESSION_NONE) {
+    session_start();
+}
+
+/**
+ * Gibt das aktuelle CSRF-Token der Session zurück.
+ *
+ * Existiert noch kein Token, wird eines erzeugt und in der Session
+ * gespeichert.
+ *
+ * @return string Das CSRF-Token
+ */
+function csrf_token(): string
+{
+    if (empty($_SESSION["csrf_token"]) || !is_string($_SESSION["csrf_token"])) {
+        $_SESSION["csrf_token"] = bin2hex(random_bytes(32));
+    }
+
+    return $_SESSION["csrf_token"];
+}
+
+/**
+ * Gibt ein verstecktes Formularfeld mit dem aktuellen CSRF-Token aus.
+ *
+ * Wird in jedem Formular benötigt, das eine zustandsändernde
+ * Aktion auslöst.
+ *
+ * @return void
+ */
+function csrf_field(): void
+{
+    echo '<input type="hidden" name="csrf_token" value="'
+        . htmlspecialchars(csrf_token())
+        . '">';
+}
+
+/**
+ * Prüft, ob das per POST gesendete CSRF-Token zum Session-Token passt.
+ *
+ * Der Vergleich erfolgt zeitkonstant über hash_equals(), um
+ * Timing-Angriffe auf den Vergleich selbst auszuschließen.
+ *
+ * @return bool true, wenn das Token gültig ist
+ */
+function csrf_verify(): bool
+{
+    $sentToken = $_POST["csrf_token"] ?? "";
+    $sessionToken = $_SESSION["csrf_token"] ?? "";
+
+    if (!is_string($sentToken) || $sentToken === "" || $sessionToken === "") {
+        return false;
+    }
+
+    return hash_equals($sessionToken, $sentToken);
+}
+
+/**
+ * Bricht die Anfrage ab und leitet mit einer Fehlermeldung um,
+ * wenn das mitgesendete CSRF-Token ungültig oder nicht vorhanden ist.
+ *
+ * Muss am Anfang jeder zustandsändernden POST-Aktion aufgerufen werden,
+ * bevor irgendeine Änderung an Daten vorgenommen wird.
+ *
+ * @param string $redirectTo Ziel-URL, zu der bei ungültigem Token
+ *                           weitergeleitet wird
+ * @return void
+ */
+function csrf_require_valid(string $redirectTo = "index.php"): void
+{
+    if (!csrf_verify()) {
+        http_response_code(403);
+        $_SESSION["message"] = "invalid_csrf_token";
+        header("Location: " . $redirectTo);
+        exit();
+    }
+}

includes/navbar.php

@@ -179,4 +179,4 @@ Globales Menü, wird via PHP später in alle Seiten eingebunden
         <?php endif; ?>
 
     </div>
-</nav>
+</nav>

index.php

@@ -2,6 +2,7 @@
 if (session_status() === PHP_SESSION_NONE) {
     session_start();
 }
+include_once "includes/csrf.php";
 include_once "php/controller/index-controller.php";
 ?>
 <!DOCTYPE html>

js/comments.js

@@ -11,20 +11,31 @@ document.addEventListener("DOMContentLoaded", function () {
     const parentCommentInput = document.getElementById("parent-comment-id");
     const replyInfo = document.getElementById("reply-info");
 
-    if (!form || !commentsList || !commentContent || !parentCommentInput || !replyInfo) {
+    if (!form || !commentsList || !commentContent || !parentCommentInput) {
         return;
     }
 
     /**
-     * Aktiviert einen einzelnen Antworten-Button.
+     * Aktiviert einen einzelnen Antworten-Link.
      *
-     * @param {HTMLButtonElement} button Antworten-Button
+     * @param {HTMLAnchorElement} replyLink Antworten-Link
      */
-    function registerReplyButton(button) {
-        button.addEventListener("click", function () {
-            parentCommentInput.value = button.dataset.commentId;
-            replyInfo.textContent = "Antwort auf " + button.dataset.author;
-            replyInfo.style.display = "block";
+    function registerReplyButton(replyLink) {
+        replyLink.addEventListener("click", function (event) {
+            /*
+             * Mit JavaScript wird die Seite nicht neu geladen.
+             * Ohne JavaScript funktioniert der normale Link.
+             */
+            event.preventDefault();
+
+            parentCommentInput.value = replyLink.dataset.commentId;
+
+            if (replyInfo) {
+                replyInfo.textContent =
+                    "Antwort auf " + replyLink.dataset.author;
+                replyInfo.style.display = "block";
+            }
+
             commentContent.focus();
         });
     }
@@ -45,18 +56,29 @@ document.addEventListener("DOMContentLoaded", function () {
         const formData = new FormData(form);
         const parentCommentId = parentCommentInput.value;
 
-        fetch("php/ajax/add-comment.php", {
+        fetch(form.action, {
             method: "POST",
-            body: formData
+            body: formData,
+            headers: {
+                "X-Requested-With": "XMLHttpRequest"
+            }
         })
-            .then(response => response.json())
-            .then(data => {
+            .then(function (response) {
+                if (!response.ok) {
+                    throw new Error("Fehlerhafte Serverantwort.");
+                }
+
+                return response.json();
+            })
+            .then(function (data) {
                 if (!data.success) {
                     alert(data.message);
                     return;
                 }
 
-                const emptyMessage = commentsList.querySelector(".no-comments-message");
+                const emptyMessage = commentsList.querySelector(
+                    ".no-comments-message"
+                );
 
                 if (emptyMessage) {
                     emptyMessage.remove();
@@ -64,49 +86,196 @@ document.addEventListener("DOMContentLoaded", function () {
 
                 const commentElement = document.createElement("div");
                 commentElement.classList.add("comment-item");
+                commentElement.dataset.commentId = data.commentId;
 
-                if (parentCommentId) {
+                if (parentCommentId !== "") {
                     commentElement.classList.add("comment-reply");
 
                     commentElement.innerHTML = `
-                        <p>
-                            <strong>${escapeHtml(data.author)}</strong>
-                            <span>${escapeHtml(data.created)}</span>
-                        </p>
-                        <p>${escapeHtml(data.content).replace(/\n/g, "<br>")}</p>
-                    `;
+        <p>
+            <strong>${escapeHtml(data.author)}</strong>
+            <span>${escapeHtml(data.created)}</span>
+        </p>
 
-                    const parentReplies = document.querySelector(
+        <p>${escapeHtml(data.content).replace(/\n/g, "<br>")}</p>
+
+        <details class="edit-comment-details">
+    <summary class="edit-comment-button">
+        Antwort bearbeiten
+    </summary>
+
+    <form
+        method="post"
+        action="index.php?pfad=updateComment"
+        class="edit-comment-form"
+    >
+        <input
+            type="hidden"
+            name="csrf_token"
+            value="${escapeHtml(formData.get("csrf_token"))}"
+        >
+
+        <input
+            type="hidden"
+            name="comment_id"
+            value="${escapeHtml(data.commentId)}"
+        >
+
+        <input
+            type="hidden"
+            name="article_id"
+            value="${escapeHtml(formData.get("article_id"))}"
+        >
+
+        <textarea
+            name="content"
+            required
+        >${escapeHtml(data.content)}</textarea>
+
+        <button type="submit" class="button">
+            Änderungen speichern
+        </button>
+    </form>
+</details>
+        
+        <form
+            method="post"
+            action="index.php?pfad=deleteComment"
+            class="delete-comment-form"
+        >
+            <input
+                type="hidden"
+                name="csrf_token"
+                value="${escapeHtml(formData.get("csrf_token"))}"
+            >
+
+            <input
+                type="hidden"
+                name="comment_id"
+                value="${escapeHtml(data.commentId)}"
+            >
+
+            <input
+                type="hidden"
+                name="article_id"
+                value="${escapeHtml(formData.get("article_id"))}"
+            >
+
+            <button
+                type="submit"
+                class="delete-comment-button"
+                onclick="return confirm('Möchtest du diesen Kommentar wirklich löschen?');"
+            >
+                Kommentar löschen
+            </button>
+        </form>
+    `;
+
+                    const parentReplies = commentsList.querySelector(
                         `.comment-item[data-comment-id="${parentCommentId}"] .comment-replies`
                     );
 
                     if (parentReplies) {
                         parentReplies.appendChild(commentElement);
+                    } else {
+                        commentsList.prepend(commentElement);
                     }
-
                 } else {
-                    commentElement.dataset.commentId = data.commentId;
-
                     commentElement.innerHTML = `
-                        <p>
-                            <strong>${escapeHtml(data.author)}</strong>
-                            <span>${escapeHtml(data.created)}</span>
-                        </p>
-                        <p>${escapeHtml(data.content).replace(/\n/g, "<br>")}</p>
+        <p>
+            <strong>${escapeHtml(data.author)}</strong>
+            <span>${escapeHtml(data.created)}</span>
+        </p>
 
-                        <button type="button"
-                                class="reply-button"
-                                data-comment-id="${escapeHtml(data.commentId)}"
-                                data-author="${escapeHtml(data.author)}">
-                            Antworten
-                        </button>
+        <p>${escapeHtml(data.content).replace(/\n/g, "<br>")}</p>
 
-                        <div class="comment-replies"></div>
-                    `;
+        <details class="edit-comment-details">
+    <summary class="edit-comment-button">
+        Kommentar bearbeiten
+    </summary>
+
+    <form
+        method="post"
+        action="index.php?pfad=updateComment"
+        class="edit-comment-form"
+    >
+        <input
+            type="hidden"
+            name="csrf_token"
+            value="${escapeHtml(formData.get("csrf_token"))}"
+        >
+
+        <input
+            type="hidden"
+            name="comment_id"
+            value="${escapeHtml(data.commentId)}"
+        >
+
+        <input
+            type="hidden"
+            name="article_id"
+            value="${escapeHtml(formData.get("article_id"))}"
+        >
+
+        <textarea
+            name="content"
+            required
+        >${escapeHtml(data.content)}</textarea>
+
+        <button type="submit" class="button">
+            Änderungen speichern
+        </button>
+    </form>
+</details>
+
+        <form
+            method="post"
+            action="index.php?pfad=deleteComment"
+            class="delete-comment-form"
+        >
+            <input
+                type="hidden"
+                name="csrf_token"
+                value="${escapeHtml(formData.get("csrf_token"))}"
+            >
+
+            <input
+                type="hidden"
+                name="comment_id"
+                value="${escapeHtml(data.commentId)}"
+            >
+
+            <input
+                type="hidden"
+                name="article_id"
+                value="${escapeHtml(formData.get("article_id"))}"
+            >
+
+            <button
+                type="submit"
+                class="delete-comment-button"
+                onclick="return confirm('Möchtest du diesen Kommentar wirklich löschen?');"
+            >
+                Kommentar löschen
+            </button>
+        </form>
+
+        <a
+            href="#comment-form"
+            class="reply-button"
+            data-comment-id="${escapeHtml(data.commentId)}"
+            data-author="${escapeHtml(data.author)}"
+        >
+            Antworten
+        </a>
+
+        <div class="comment-replies"></div>
+    `;
 
                     commentsList.prepend(commentElement);
 
-                    const newReplyButton = commentElement.querySelector(".reply-button");
+                    const newReplyButton =
+                        commentElement.querySelector(".reply-button");
 
                     if (newReplyButton) {
                         registerReplyButton(newReplyButton);
@@ -115,10 +284,14 @@ document.addEventListener("DOMContentLoaded", function () {
 
                 commentContent.value = "";
                 parentCommentInput.value = "";
-                replyInfo.textContent = "";
-                replyInfo.style.display = "none";
+
+                if (replyInfo) {
+                    replyInfo.textContent = "";
+                    replyInfo.style.display = "none";
+                }
             })
-            .catch(() => {
+            .catch(function (error) {
+                console.error(error);
                 alert("Kommentar konnte nicht gesendet werden.");
             });
     });
@@ -126,12 +299,12 @@ document.addEventListener("DOMContentLoaded", function () {
     /**
      * Entfernt HTML-Sonderzeichen aus Nutzereingaben.
      *
-     * @param {string} text Zu bereinigender Text
+     * @param {*} text Zu bereinigender Text
      * @returns {string} Sicherer Text
      */
     function escapeHtml(text) {
         const div = document.createElement("div");
-        div.textContent = text;
+        div.textContent = String(text ?? "");
         return div.innerHTML;
     }
 });

js/editor.js

@@ -1,172 +1,133 @@
-console.log("Die JavaScript-Datei wurde erfolgreich geladen!");
+//console.log("editor.js wurde erfolgreich geladen!");
 
 function initEditor() {
     const form = document.getElementById("editor-form");
 
     if (!form) {
-        console.error("Skript abgebrochen: Formular nicht gefunden!");
+        console.error("editor.js abgebrochen: Formular nicht gefunden!");
         return;
     } else {
-        console.log("Formular gefunden und Editor initialisiert:", form);
+        console.log("Formular gefunden und editor.js initialisiert:", form);
     }
 
     const container = document.getElementById("block-container");
     const plusButton = document.getElementById("plus-button");
     const popup = document.getElementById("block-popup");
-    const hiddenContentInput = document.getElementById("content");
 
-    const initialImages = [];
+    // Fortlaufender Zähler für eindeutige Block-Indizes. Wird nie wiederverwendet
+    // (auch nicht nach dem Löschen eines Blocks), damit sich neue und übrig
+    // gebliebene Blöcke beim finalen Submit nie einen Namen teilen.
+    let blockIndex = container.querySelectorAll(".editor-block").length;
+
+    // Ohne JS sind Textblock-/Bild-Button im Pop-up immer sichtbar und ganz normale
+    // Submit-Buttons. Erst mit JS blenden wir das Pop-up standardmäßig aus und
+    // steuern die Sichtbarkeit über den Plus-Button.
+    popup.classList.add("hidden");
 
-    // Pop-up umschalten bei Klick auf das Plus
     plusButton.addEventListener("click", () => {
         popup.classList.toggle("hidden");
     });
 
-    // Klick auf eine Block-Option im Pop-up
-    popup.querySelectorAll("button").forEach(btn => {
-        btn.addEventListener("click", function() {
+    // Klick auf "Textblock" / "Bild einfügen": lokal im DOM anlegen statt zum
+    // Server zu submitten (entlastet den Server, kein Page-Reload nötig).
+    popup.querySelectorAll('[name="editor_action"]').forEach(btn => {
+        btn.addEventListener("click", function (e) {
+            e.preventDefault();
             const type = this.getAttribute("data-type");
             addBlockElement(type, "");
             popup.classList.add("hidden");
         });
     });
 
-    // Erstellt ein visuelles HTML-Element im Editor
+    // Bereits vom Server gerenderte Blöcke (z.B. beim Bearbeiten eines bestehenden
+    // Artikels oder nach einem Validierungsfehler) ebenfalls mit JS-Verhalten ausstatten.
+    container.querySelectorAll(".editor-block").forEach(blockDiv => {
+        bindDeleteButton(blockDiv);
+        bindImageInput(blockDiv);
+    });
+
+    // Erstellt einen neuen Block inkl. echter, benannter Formularfelder
+    // (blocks[i][type], blocks[i][text] bzw. blocks[i][image]). Diese Felder werden
+    // beim finalen Submit ganz normal vom Browser als multipart/form-data verschickt –
+    // es ist kein manuelles Zusammenbauen von JSON beim Absenden mehr nötig.
     function addBlockElement(type, value = "") {
+        const index = blockIndex++;
+
         const blockDiv = document.createElement("div");
-        blockDiv.classList.add("editor-block");
-        blockDiv.setAttribute("data-type", type);
+        blockDiv.classList.add("editor-block", "article-editor-scope");
+        blockDiv.setAttribute("data-index", String(index));
 
-        // Wenn es ein existierendes Server-Bild beim Laden ist, Pfad im globalen Array sichern
-        if (type === "image" && value && typeof value === 'string' && value.startsWith('uploads/')) {
-            initialImages.push(value);
-            blockDiv.setAttribute("data-value", value);
-        }
-
-        // Löschen-Button
-        const deleteBtn = document.createElement("button");
-        deleteBtn.type = "button";
-        deleteBtn.innerHTML = "✕";
-        deleteBtn.classList.add("delete-block-btn");
-        deleteBtn.addEventListener("click", () => {
-            // ANPASSUNG 2B: Logik hier komplett geleert. Das '✕' entfernt den Block jetzt nur noch sicher aus dem HTML.
-            blockDiv.remove();
-        });
-        blockDiv.appendChild(deleteBtn);
+        const typeInput = document.createElement("input");
+        typeInput.type = "hidden";
+        typeInput.name = `blocks[${index}][type]`;
+        typeInput.value = type;
+        blockDiv.appendChild(typeInput);
 
         if (type === "text") {
             const textarea = document.createElement("textarea");
+            textarea.name = `blocks[${index}][text]`;
             textarea.placeholder = "Schreibe deinen Textblock...";
             textarea.value = value;
             blockDiv.appendChild(textarea);
         } else if (type === "image") {
             const fileInput = document.createElement("input");
             fileInput.type = "file";
+            fileInput.name = `blocks[${index}][image]`;
             fileInput.accept = "image/*";
-
-            const imgPreview = document.createElement("img");
-            imgPreview.style.maxWidth = "200px";
-            imgPreview.style.display = "block";
-            imgPreview.style.marginTop = "10px";
-
-            if (value && typeof value === 'string') {
-                if (value.startsWith('uploads/') || value.startsWith('data:image/')) {
-                    imgPreview.src = value;
-                    blockDiv.setAttribute("data-value", value);
-                }
-            }
-
-            fileInput.addEventListener("change", function() {
-                if (this.files && this.files[0]) {
-                    const reader = new FileReader();
-                    reader.onload = function(e) {
-                        imgPreview.src = e.target.result;
-                        blockDiv.setAttribute("data-value", e.target.result);
-                    }
-                    reader.readAsDataURL(this.files[0]);
-                }
-            });
-
             blockDiv.appendChild(fileInput);
-            blockDiv.appendChild(imgPreview);
         }
 
+        const deleteBtn = document.createElement("button");
+        deleteBtn.type = "submit";
+        deleteBtn.name = "editor_action";
+        deleteBtn.value = `delete_block:${index}`;
+        deleteBtn.classList.add("delete-block-btn");
+        deleteBtn.innerHTML = "✕";
+        blockDiv.appendChild(deleteBtn);
+
         container.appendChild(blockDiv);
+
+        bindDeleteButton(blockDiv);
+        bindImageInput(blockDiv);
     }
 
-    // beim Abschicken verbleibende Blöcke auslesen UND gelöschte Bilder ermitteln
-    form.addEventListener("submit", function(e) {
-        const blocks = [];
-        const currentImages = [];
-
-        // alle aktuell im Formular verbliebenen Blöcke scannen
-        container.querySelectorAll(".editor-block").forEach(blockDiv => {
-            const type = blockDiv.getAttribute("data-type");
-            let value = "";
-
-            if (type === "text") {
-                value = blockDiv.querySelector("textarea").value;
-            } else if (type === "image") {
-
-                const imgTag = blockDiv.querySelector("img");
-                if (imgTag) {
-                    const srcValue = imgTag.getAttribute("src") || "";
-                    // Wenn es ein neues Bild ist, nutzen wir das data-value (Base64)
-                    if (srcValue.startsWith('data:image/')) {
-                        value = blockDiv.getAttribute("data-value") || "";
-                    } else {
-                        value = srcValue;
-                    }
-                }
-
-                // Pfade sammeln, die der Nutzer NICHT gelöscht hat (für den Abgleich)
-                if (value && value.startsWith('uploads/')) {
-                    currentImages.push(value);
-                }
-            }
-
-            blocks.push({ type: type, value: value });
+    // Löschen-Button eines Blocks lokal abfangen: entfernt den Block nur aus dem DOM,
+    // statt das Formular zum Server zu senden.
+    function bindDeleteButton(blockDiv) {
+        const btn = blockDiv.querySelector(".delete-block-btn");
+        if (!btn) return;
+        btn.addEventListener("click", (e) => {
+            e.preventDefault();
+            blockDiv.remove();
         });
+    }
 
-        // das reguläre unsichtbare Content-Feld befüllen
-        hiddenContentInput.value = JSON.stringify(blocks);
+    // Zeigt bei Auswahl einer Bilddatei sofort eine Vorschau an. Rein optisch –
+    // der eigentliche Datei-Upload läuft nativ über das <input type="file">.
+    function bindImageInput(blockDiv) {
+        const fileInput = blockDiv.querySelector('input[type="file"]');
+        if (!fileInput) return;
 
-        // Differenz berechnen: Welche Bilder aus 'initialImages' fehlen in 'currentImages' ?
-        const deletedImages = initialImages.filter(img => !currentImages.includes(img));
-
-        // das 'deleted_images'-Feld dynamisch befüllen und an den Controller senden
-        let deletedInput = document.getElementById("deleted-images");
-        if (!deletedInput) {
-            deletedInput = document.createElement("input");
-            deletedInput.type = "hidden";
-            deletedInput.id = "deleted-images";
-            deletedInput.name = "deleted_images";
-            form.appendChild(deletedInput);
+        let imgPreview = blockDiv.querySelector(".block-image-preview");
+        if (!imgPreview) {
+            imgPreview = document.createElement("img");
+            imgPreview.classList.add("block-image-preview");
+            imgPreview.style.maxWidth = "200px";
+            imgPreview.style.display = "none";
+            imgPreview.style.marginTop = "10px";
+            blockDiv.insertBefore(imgPreview, fileInput.nextSibling);
         }
-        deletedInput.value = JSON.stringify(deletedImages);
-    });
 
-    // Existierende Blöcke laden (stellt alte Daten aus der Session wieder her)
-    try {
-        const initialBlocks = JSON.parse(hiddenContentInput.value.trim());
-        if (Array.isArray(initialBlocks)) {
-            initialBlocks.forEach(b => {
-                if (b.type === "image" && b.value && typeof b.value === 'string' && !b.value.startsWith('data:image/')) {
-                    let cleanPath = b.value.trim().replace(/\\\//g, '/'); // Verwandelt \/ in /
-
-                    initialImages.push(cleanPath);
-                    addBlockElement(b.type, cleanPath);
-
-                } else {
-                    addBlockElement(b.type, b.value);
-                }
-            });
-            console.log("Erfolgreich registrierte Start-Bilder:", initialImages);
-        }
-    } catch(e) {
-        if (hiddenContentInput.value.trim() !== "") {
-            addBlockElement("text", hiddenContentInput.value);
-        }
+        fileInput.addEventListener("change", function () {
+            if (this.files && this.files[0]) {
+                const reader = new FileReader();
+                reader.onload = (e) => {
+                    imgPreview.src = e.target.result;
+                    imgPreview.style.display = "block";
+                };
+                reader.readAsDataURL(this.files[0]);
+            }
+        });
     }
 }
 
@@ -176,4 +137,4 @@ if (document.readyState === "loading") {
 } else {
     // Falls das DOM schon fertig geladen ist, führen wir es direkt aus
     initEditor();
-}
+}

php/ajax/add-comment.php

@@ -3,32 +3,202 @@ if (session_status() === PHP_SESSION_NONE) {
     session_start();
 }
 
-header("Content-Type: application/json");
-
 require_once "../model/CommentManager.php";
+require_once "../model/ArticleManager.php";
+require_once "../../includes/csrf.php";
+
+/**
+ * Prüft, ob die Anfrage durch JavaScript per AJAX gesendet wurde.
+ */
+$isAjaxRequest = isset($_SERVER["HTTP_X_REQUESTED_WITH"])
+    && strtolower($_SERVER["HTTP_X_REQUESTED_WITH"]) === "xmlhttprequest";
+
+/**
+ * Gibt das Ergebnis entweder als JSON zurück oder leitet
+ * bei einem normalen Formularaufruf wieder zum Beitrag zurück.
+ *
+ * @param bool $success War das Speichern erfolgreich?
+ * @param string $message Rückmeldung für den Benutzer
+ * @param int|null $articleId ID des Beitrags
+ * @param array $additionalData Zusätzliche Daten für AJAX
+ */
+function sendCommentResponse(
+    $success,
+    $message,
+    $articleId,
+    $additionalData = []
+) {
+    global $isAjaxRequest;
+
+    if ($isAjaxRequest) {
+        header("Content-Type: application/json; charset=utf-8");
+
+        echo json_encode(
+            array_merge(
+                [
+                    "success" => $success,
+                    "message" => $message
+                ],
+                $additionalData
+            )
+        );
+
+        exit();
+    }
+
+    /*
+     * Bei deaktiviertem JavaScript wird die Rückmeldung
+     * in der Session gespeichert und die Beitragsseite neu geladen.
+     */
+    $_SESSION["comment_message"] = $message;
+    $_SESSION["comment_message_type"] = $success ? "success" : "error";
+
+    if ($articleId !== null) {
+        header(
+            "Location: ../../index.php?pfad=showArticle&id="
+            . urlencode((string) $articleId)
+            . "#comments"
+        );
+    } else {
+        header("Location: ../../index.php");
+    }
 
-if (!isset($_SESSION["user_email"])) {
-    echo json_encode([
-        "success" => false,
-        "message" => "Du musst angemeldet sein, um zu kommentieren."
-    ]);
     exit();
 }
 
-$articleId = $_POST["article_id"] ?? null;
-$content = trim($_POST["content"] ?? "");
-$parentCommentId = $_POST["parent_comment_id"] ?? null;
+/*
+ * Nur POST-Anfragen dürfen Kommentare erstellen.
+ */
+if ($_SERVER["REQUEST_METHOD"] !== "POST") {
+    sendCommentResponse(
+        false,
+        "Ungültige Anfrage.",
+        null
+    );
+}
 
-if ($parentCommentId === "" || $parentCommentId === "0") {
+/*
+ * Die Beitrags-ID wird zuerst eingelesen,
+ * damit bei Fehlern wieder zum Beitrag zurückgeleitet werden kann.
+ */
+$articleId = filter_input(
+    INPUT_POST,
+    "article_id",
+    FILTER_VALIDATE_INT
+);
+
+/*
+ * Ein Benutzer muss angemeldet sein.
+ */
+if (!isset($_SESSION["user_email"])) {
+    sendCommentResponse(
+        false,
+        "Du musst angemeldet sein, um zu kommentieren.",
+        $articleId !== false ? $articleId : null
+    );
+}
+
+/*
+ * CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird.
+ */
+if (!csrf_verify()) {
+    sendCommentResponse(
+        false,
+        "Deine Sitzung ist abgelaufen. Bitte lade die Seite neu und versuche es erneut.",
+        $articleId !== false ? $articleId : null
+    );
+}
+
+/*
+ * Weitere Formulardaten einlesen.
+ */
+
+$content = trim($_POST["content"] ?? "");
+
+$parentCommentId = filter_input(
+    INPUT_POST,
+    "parent_comment_id",
+    FILTER_VALIDATE_INT
+);
+
+/*
+ * Ein leerer Wert bedeutet, dass es sich um einen
+ * normalen Hauptkommentar handelt.
+ */
+if (
+    !isset($_POST["parent_comment_id"])
+    || $_POST["parent_comment_id"] === ""
+    || $_POST["parent_comment_id"] === "0"
+) {
     $parentCommentId = null;
 }
 
-if (empty($articleId) || empty($content)) {
-    echo json_encode([
-        "success" => false,
-        "message" => "Kommentar darf nicht leer sein."
-    ]);
-    exit();
+if ($articleId === false || $articleId === null) {
+    sendCommentResponse(
+        false,
+        "Der zugehörige Beitrag ist ungültig.",
+        null
+    );
+}
+
+/*
+ * Der Beitrag muss tatsächlich existieren.
+ */
+$existingArticle = ArticleManager::getInstance()->getArticle($articleId);
+if ($existingArticle === null) {
+    sendCommentResponse(
+        false,
+        "Der zugehörige Beitrag wurde nicht gefunden.",
+        null
+    );
+}
+
+if ($content === "") {
+    sendCommentResponse(
+        false,
+        "Der Kommentar darf nicht leer sein.",
+        $articleId
+    );
+}
+
+/*
+ * Eine ungültige Eltern-ID darf nicht gespeichert werden.
+ */
+if (
+    isset($_POST["parent_comment_id"])
+    && $_POST["parent_comment_id"] !== ""
+    && $_POST["parent_comment_id"] !== "0"
+    && $parentCommentId === false
+) {
+    sendCommentResponse(
+        false,
+        "Der ausgewählte Kommentar ist ungültig.",
+        $articleId
+    );
+}
+
+/*
+ * Falls eine Eltern-ID angegeben wurde, muss dieser Kommentar
+ * tatsächlich existieren und zum selben Beitrag gehören.
+ */
+if ($parentCommentId !== null) {
+    $existingComments = CommentManager::getInstance()->getCommentsByArticle($articleId);
+    $parentExists = false;
+
+    foreach ($existingComments as $existingComment) {
+        if ($existingComment->getId() === $parentCommentId) {
+            $parentExists = true;
+            break;
+        }
+    }
+
+    if (!$parentExists) {
+        sendCommentResponse(
+            false,
+            "Der ausgewählte Kommentar wurde nicht gefunden.",
+            $articleId
+        );
+    }
 }
 
 try {
@@ -41,18 +211,23 @@ try {
         $parentCommentId
     );
 
-    echo json_encode([
-        "success" => true,
-        "commentId" => $commentId,
-        "author" => $_SESSION["user_email"],
-        "content" => $content,
-        "created" => date("Y-m-d H:i:s"),
-        "parentCommentId" => $parentCommentId
-    ]);
+    sendCommentResponse(
+        true,
+        "Der Kommentar wurde erfolgreich gespeichert.",
+        $articleId,
+        [
+            "commentId" => $commentId,
+            "author" => $_SESSION["user_email"],
+            "content" => $content,
+            "created" => date("Y-m-d H:i:s"),
+            "parentCommentId" => $parentCommentId
+        ]
+    );
 
-} catch (Exception $e) {
-    echo json_encode([
-        "success" => false,
-        "message" => "Kommentar konnte nicht gespeichert werden."
-    ]);
+} catch (Throwable $e) {
+    sendCommentResponse(
+        false,
+        "Der Kommentar konnte nicht gespeichert werden.",
+        $articleId
+    );
 }

php/controller/createArticle-controller.php

@@ -5,134 +5,128 @@ if (session_status() === PHP_SESSION_NONE) {
 require_once '../model/LocalArticleManager.php';
 require_once '../model/ArticleManager.php';
 require_once '../validator/article-validator.php';
+require_once '../../includes/article-block-helper.php';
+require_once '../../includes/csrf.php';
 
 if (!isset($_SESSION["user"])) {
     header("Location: index.php?pfad=login");
     exit();
 }
-    if ($_SERVER["REQUEST_METHOD"] === "POST") {
-        $_SESSION["old_title"]    = $_POST["title"] ?? '';
-        $_SESSION["old_content"]  = $_POST["content"] ?? '';
-        $_SESSION["old_category"] = $_POST["category"] ?? '';
-        $_SESSION["old_tags"]     = $_POST["tags"] ?? '';
 
-        if(!isset($_POST["title"]) ||!isset($_POST["content"]) || !isset($_POST["category"])){
-            $_SESSION["message"] = "missing_parameters";
+if ($_SERVER["REQUEST_METHOD"] === "POST") {
+
+    // CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird
+    if (!csrf_verify()) {
+        $_SESSION["message"] = "invalid_csrf_token";
+        header("location: ../../index.php?pfad=createArticle");
+        exit();
+    }
+
+    $uploadDir = __DIR__ . '/../../uploads/';
+    if (!file_exists($uploadDir)) {
+        mkdir($uploadDir, 0755, true);
+    }
+
+    // Formularzustand (Titel/Tags/Kategorie/Blöcke) immer sichern, damit er nach einem
+    // Redirect (PRG-Pattern oder Validierungsfehler) wieder angezeigt werden kann.
+    $_SESSION["old_title"]    = $_POST["title"] ?? '';
+    $_SESSION["old_category"] = $_POST["category"] ?? '';
+    $_SESSION["old_tags"]     = $_POST["tags"] ?? '';
+
+    $blocks = rebuildBlocksFromPost($_POST['blocks'] ?? [], $_FILES['blocks'] ?? [], $uploadDir);
+    $_SESSION["old_content"] = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+
+    // ---------------------------------------------------------------------
+    // Zwischenspeichern
+    // ---------------------------------------------------------------------
+    if (isset($_POST['editor_action']) && $_POST['editor_action'] !== '') {
+        $action = $_POST['editor_action'];
+
+        if ($action === 'add_text') {
+            $blocks[] = ['type' => 'text', 'value' => ''];
+        } elseif ($action === 'add_image') {
+            $blocks[] = ['type' => 'image', 'value' => ''];
+        } elseif (str_starts_with($action, 'delete_block:')) {
+            $deleteIndex = (int) substr($action, strlen('delete_block:'));
+            unset($blocks[$deleteIndex]);
+            $blocks = array_values($blocks);
+        }
+
+        $_SESSION["old_content"] = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+        header("location: ../../index.php?pfad=createArticle");
+        exit();
+    }
+
+    // ---------------------------------------------------------------------
+    // Echtes Veröffentlichen
+    // ---------------------------------------------------------------------
+    if (!isset($_POST["title"]) || !isset($_POST["category"])) {
+        $_SESSION["message"] = "missing_parameters";
+        header("location: ../../index.php?pfad=createArticle");
+        exit();
+    } else {
+        $title    = $_POST["title"];
+        $content  = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+        $author   = $_SESSION["user_email"];
+        $category = $_POST["category"];
+        $tags     = $_POST['tags'] ?? '';
+
+        // -------------------------------- Validierung der Daten: -------------------------
+        if (!articleTitleValidator($title)) {
+            $_SESSION["message"] = "invalid_title";
+            header("location: ../../index.php?pfad=createArticle");
+            exit();
+        }
+
+        if (!articleContentValidator($content)) {
+            $_SESSION["message"] = "invalid_content";
+            header("location: ../../index.php?pfad=createArticle");
+            exit();
+        }
+
+        if (!articleCategoryValidator($category)) {
+            $_SESSION["message"] = "invalid_category";
+            header("location: ../../index.php?pfad=createArticle");
+            exit();
+        }
+
+        if (!articleTagValidator($tags)) {
+            $_SESSION["message"] = "invalid_tags";
             header("location: ../../index.php?pfad=createArticle");
             exit();
         } else {
-            $title = $_POST["title"];
-            $content = $_POST["content"];
-            $author = $_SESSION["user_email"];
-            $category = $_POST["category"];
-            $tags = $_POST['tags'] ?? '';
-
-            // -------------------------------- Validierung der Daten: -------------------------
-            if (!articleTitleValidator($title)) {
-                $_SESSION["message"] = "invalid_title";
-                header("location: ../../index.php?pfad=createArticle");
-                exit();
+            $cleanedTags = [];
+            $rawTags = explode(',', $tags);
+            foreach ($rawTags as $rawTag) {
+                // Leerzeichen am Anfang/Ende des einzelnen Tags entfernen:
+                $tag = trim($rawTag);
+                $cleanedTags[] = $tag;
             }
+            // Duplikate entfernen:
+            $cleanedTags = array_unique($cleanedTags);
+            $cleanedTags = implode(',', $cleanedTags);
+        }
 
-            if (!articleContentValidator($content)) {
-                $_SESSION["message"] = "invalid_content";
-                header("location: ../../index.php?pfad=createArticle");
-                exit();
-            }
+        // ----------------- Übertragung der validierten Daten in ArticleManager: ---------------------------
+        try {
+            $articleManager = ArticleManager::getInstance();
+            // $content enthält bereits die finalen "uploads/..."-Pfade (kein Base64 mehr),
+            // da rebuildBlocksFromPost() Datei-Uploads sofort verarbeitet.
+            $articleManager->addArticle($title, $content, $author, $category, $cleanedTags);
 
-            if (!articleCategoryValidator($category)) {
-                $_SESSION["message"] = "invalid_category";
-                header("location: ../../index.php?pfad=createArticle");
-                exit();
-            }
+            // Formulardaten nach erfolgreichem Erstellen aus der Session löschen
+            unset($_SESSION["old_title"], $_SESSION["old_content"], $_SESSION["old_category"], $_SESSION["old_tags"]);
 
-            if (!articleTagValidator($tags)) {
-                $_SESSION["message"] = "invalid_tags";
-                header("location: ../../index.php?pfad=createArticle");
-                exit();
-            } else {
-                $cleanedTags = [];
-                $rawTags = explode(',', $tags);
-                foreach ($rawTags as $rawTag) {
-                    // Leerzeichen am Anfang/Ende des einzelnen Tags entfernen:
-                    $tag = trim($rawTag);
-                    $cleanedTags[] = $tag;
-                }
-                // Duplikate entfernen:
-                $cleanedTags = array_unique($cleanedTags);
-                $cleanedTags = implode(',', $cleanedTags);
-            }
-
-            // ----------------- Base64-Bilder verarbeiten und auf Server speichern -----------------
-            $blocks = json_decode($content, true);
-            $uploadDir = __DIR__ . '/../../uploads/';
-
-            if (!file_exists($uploadDir)) {
-                mkdir($uploadDir, 0755, true);
-            }
-
-            if (is_array($blocks)) {
-                foreach ($blocks as &$block) {
-                    // sicherstellen, dass 'type' und 'value' existieren:
-                    if (isset($block['type']) && isset($block['value']) && $block['type'] === 'image' && str_starts_with($block['value'], 'data:image/')) {
-
-                        // Base64-String zerlegen
-                        $parts = explode(',', $block['value']);
-
-                        // falls der String korrupt ist und kein Komma hat
-                        if (count($parts) < 2) {
-                            continue;
-                        }
-
-                        $metadata = $parts[0];
-                        $base64Data = $parts[1];
-
-                        // Dateiendung ermitteln
-                        preg_match('/data:image\/(?<extension>.*?);/', $metadata, $matches);
-                        $extension = $matches['extension'] ?? 'jpg';
-                        if ($extension === 'jpeg') {
-                            $extension = 'jpg';
-                        }
-
-                        // Eindeutigen Dateinamen generieren
-                        $fileName = 'img_' . uniqid() . '.' . $extension;
-                        $filePath = $uploadDir . $fileName;
-
-                        // Datei im /uploads speichern:
-                        if (file_put_contents($filePath, base64_decode($base64Data)) !== false) {
-                            // temporären Base64-String durch den echten Pfad ersetzen
-                            $block['value'] = 'uploads/' . $fileName;
-                        } else {
-                            $_SESSION["message"] = "image_upload_error";
-                            header("location: ../../index.php?pfad=createArticle");
-                            exit();
-                        }
-                    }
-                }
-                unset($block);
-            }
-
-            // Aktualisiertes Array wieder in JSON konvertieren
-            $finalContent = json_encode($blocks, JSON_UNESCAPED_UNICODE);
-
-            // ----------------- Übertragung der validierten Daten in ArticleManager: ---------------------------
-            try {
-                $articleManager = ArticleManager::getInstance();
-                $articleManager->addArticle($title, $content, $author, $category, $cleanedTags);
-
-                // Formulardaten nach erfolgreichem Erstellen aus der Session löschen
-                unset($_SESSION["old_title"], $_SESSION["old_content"], $_SESSION["old_category"], $_SESSION["old_tags"]);
-
-            } catch (\Throwable $e){
-                $_SESSION["message"] = "internal_error";
-                header("location: ../../index.php?pfad=createArticle");
-                exit();
-            }
-
-            $_SESSION["message"] = "new_article";
-            // Weiterleitung zur Homepage
-            header("location: ../../index.php");
+        } catch (\Throwable $e) {
+            $_SESSION["message"] = "internal_error";
+            header("location: ../../index.php?pfad=createArticle");
             exit();
         }
+
+        $_SESSION["message"] = "new_article";
+        // Weiterleitung zur Homepage
+        header("location: ../../index.php");
+        exit();
     }
+}
 ?>

php/controller/deleteAccount-controller.php

@@ -5,12 +5,24 @@ if (session_status() === PHP_SESSION_NONE) {
 
 require_once __DIR__ . "/../model/UserManager.php";
 require_once __DIR__ . "/../model/ArticleManager.php";
+require_once __DIR__ . "/../../includes/csrf.php";
 
 if (!isset($_SESSION["user"])) {
     header("Location: index.php?pfad=login");
     exit();
 }
 
+if ($_SERVER["REQUEST_METHOD"] !== "POST") {
+    header("Location: ../../index.php?pfad=profile");
+    exit();
+}
+
+if (!csrf_verify()) {
+    $_SESSION["message"] = "invalid_csrf_token";
+    header("Location: ../../index.php?pfad=profile");
+    exit();
+}
+
 /*
     Deregistrierung
     Funktion: Entfernt User aus der Datenbank und beendet die Session

php/controller/deleteArticle-controller.php

@@ -4,6 +4,7 @@ if (session_status() === PHP_SESSION_NONE) {
 }
 
 require_once __DIR__ . "/../model/ArticleManager.php";
+require_once __DIR__ . "/../../includes/csrf.php";
 
 if (!isset($_SESSION["user"])) {
     header("Location: index.php?pfad=login");
@@ -12,6 +13,13 @@ if (!isset($_SESSION["user"])) {
 
 if ($_SERVER["REQUEST_METHOD"] === "POST") {
 
+    // CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird
+    if (!csrf_verify()) {
+        $_SESSION["message"] = "invalid_csrf_token";
+        header("location: ../../index.php?pfad=profile");
+        exit();
+    }
+
     if (isset($_SESSION["user_email"])) {
         $user = $_SESSION["user_email"];
     } else {
@@ -22,9 +30,10 @@ if ($_SERVER["REQUEST_METHOD"] === "POST") {
         exit();
     }
 
-    if (isset($_POST["id"]) && !empty($_POST["id"])) {
-        $id = $_POST["id"];
-    } else {
+    // Die Beitrags-ID muss eine gültige numerische ID sein.
+    $id = filter_input(INPUT_POST, "id", FILTER_VALIDATE_INT);
+
+    if ($id === false || $id === null) {
         $_SESSION["message"] = "missing_id";
         header("location: ../../index.php?pfad=profile");
         exit();
@@ -44,4 +53,4 @@ if ($_SERVER["REQUEST_METHOD"] === "POST") {
     $_SESSION["message"] = "article_deleted";
     header("location: ../../index.php?pfad=profile");
     exit();
-}
+}

php/controller/deleteComment-controller.php

@@ -0,0 +1,123 @@
+<?php
+
+if (session_status() === PHP_SESSION_NONE) {
+    session_start();
+}
+
+require_once __DIR__ . "/../model/CommentManager.php";
+require_once __DIR__ . "/../../includes/csrf.php";
+
+/*
+ * Kommentare dürfen nur über ein POST-Formular gelöscht werden.
+ */
+if ($_SERVER["REQUEST_METHOD"] !== "POST") {
+    header("Location: index.php");
+    exit();
+}
+$commentId = filter_input(
+    INPUT_POST,
+    "comment_id",
+    FILTER_VALIDATE_INT
+);
+
+$articleId = filter_input(
+    INPUT_POST,
+    "article_id",
+    FILTER_VALIDATE_INT
+);
+
+/*
+ * Nur angemeldete Nutzer dürfen Kommentare löschen.
+ */
+if (!isset($_SESSION["user_email"])) {
+    $_SESSION["comment_message"] = "Du musst angemeldet sein.";
+    $_SESSION["comment_message_type"] = "error";
+
+    if ($articleId !== false && $articleId !== null) {
+        header(
+            "Location: index.php?pfad=showArticle&id="
+            . urlencode((string) $articleId)
+            . "#comments"
+        );
+    } else {
+        header("Location: index.php");
+    }
+    exit();
+}
+
+// CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird
+if (!csrf_verify()) {
+    $_SESSION["comment_message"] = "Deine Sitzung ist abgelaufen. Bitte lade die Seite neu.";
+    $_SESSION["comment_message_type"] = "error";
+
+    if ($articleId !== false && $articleId !== null) {
+        header(
+            "Location: index.php?pfad=showArticle&id="
+            . urlencode((string) $articleId)
+            . "#comments"
+        );
+    } else {
+        header("Location: index.php");
+    }
+    exit();
+}
+
+/*
+ * Kommentar-ID und Beitrags-ID müssen gültige Zahlen sein.
+ */
+if (
+    $commentId === false
+    || $commentId === null
+    || $articleId === false
+    || $articleId === null
+) {
+    $_SESSION["comment_message"] =
+        "Der Kommentar konnte nicht gelöscht werden.";
+
+    $_SESSION["comment_message_type"] = "error";
+
+    header("Location: index.php");
+    exit();
+}
+
+try {
+    $commentManager = CommentManager::getInstance();
+
+    /*
+     * Die E-Mail-Adresse aus der Session wird mitgegeben.
+     * Dadurch kann der Nutzer nur eigene Kommentare löschen.
+     */
+    $deleted = $commentManager->deleteComment(
+        $commentId,
+        $_SESSION["user_email"]
+    );
+
+    if ($deleted) {
+        $_SESSION["comment_message"] =
+            "Der Kommentar wurde gelöscht.";
+
+        $_SESSION["comment_message_type"] = "success";
+    } else {
+        $_SESSION["comment_message"] =
+            "Der Kommentar wurde nicht gefunden oder gehört nicht dir.";
+
+        $_SESSION["comment_message_type"] = "error";
+    }
+
+} catch (Throwable $e) {
+    $_SESSION["comment_message"] =
+        "Der Kommentar konnte nicht gelöscht werden.";
+
+    $_SESSION["comment_message_type"] = "error";
+}
+
+/*
+ * Anschließend wird wieder zum Beitrag und zu den Kommentaren geleitet.
+ */
+header(
+    "Location: index.php?pfad=showArticle&id="
+    . urlencode((string) $articleId)
+    . "#comments"
+);
+
+exit();

php/controller/index-controller.php

@@ -20,6 +20,10 @@ if ($pfad === "login") {
     include_once "php/controller/confirm-register-controller.php";
 } elseif ($pfad === "confirm-password") {
     include_once "php/controller/confirm-password-controller.php";
+} elseif ($pfad === "updateComment") {
+    include_once "php/controller/updateComment-controller.php";
+} elseif($pfad === "deleteComment") {
+    include_once "php/controller/deleteComment-controller.php";
 }
 
 // Whitelist

php/controller/like-controller.php

@@ -5,6 +5,12 @@ if (session_status() === PHP_SESSION_NONE) {
 
 require_once __DIR__ . '/../model/Article.php';
 require_once __DIR__ . '/../model/ArticleManager.php';
+require_once __DIR__ . '/../../includes/csrf.php';
+
+if ($_SERVER["REQUEST_METHOD"] !== "POST") {
+    header("Location: ../../index.php");
+    exit();
+}
 
 // 2. Prüfen, ob eine gültige Artikel-ID übergeben wurde
 if (isset($_GET["id"]) && !empty($_GET["id"])) {
@@ -17,6 +23,13 @@ if (isset($_GET["id"]) && !empty($_GET["id"])) {
         exit();
     }
 
+    // CSRF-Token prüfen, bevor der Like-Status verändert wird
+    if (!csrf_verify()) {
+        $_SESSION["message"] = "invalid_csrf_token";
+        header("Location: ../../index.php?pfad=showArticle&id=" . $articleId);
+        exit();
+    }
+
     try {
         $articleManager = ArticleManager::getInstance();
         $articleManager->toggleLike($articleId, $userEmail);

php/controller/logout-controller.php

@@ -1,4 +1,8 @@
 <?php
+if (session_status() === PHP_SESSION_NONE) {
+    session_start();
+}
+
 $_SESSION = [];
 session_destroy();
 

php/controller/profile-controller.php

@@ -5,6 +5,7 @@ require_once "php/model/Article.php";
 require_once "php/model/ArticleManager.php";
 require_once "php/model/CommentManager.php";
 require_once "php/validator/user-validator.php";
+require_once "includes/csrf.php";
 
 $error = null;
 
@@ -27,6 +28,7 @@ try {
     }
 
     if ($_SERVER["REQUEST_METHOD"] === "POST" && isset($_POST["saveProfile"])) {
+
         $oldEmail = $_SESSION["user_email"];
 
         $newEmail = trim($_POST["email"] ?? "");
@@ -34,7 +36,12 @@ try {
         $nachname = trim($_POST["nachname"] ?? "");
         $password = $_POST["password"] ?? "";
 
-        if (!userEmailValidator($newEmail)) {
+        if (!csrf_verify()) {
+            // CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird
+            $error = "Deine Sitzung ist abgelaufen. Bitte lade die Seite neu und versuche es erneut.";
+            $_GET["edit"] = "1";
+
+        } elseif (!userEmailValidator($newEmail)) {
             $error = "Bitte gib eine gültige E-Mail-Adresse ein.";
             $_GET["edit"] = "1";
 

php/controller/showArticle-controller.php

@@ -7,10 +7,14 @@ require_once 'php/model/Article.php';
 require_once 'php/model/ArticleManager.php';
 require_once 'php/model/UserManager.php';
 require_once 'php/model/CommentManager.php';
+require_once 'php/validator/article-validator.php';
 
-if (isset($_GET["id"]) && !empty($_GET["id"])){
+// Die übergebene ID muss eine gültige, positive Zahl sein, bevor sie
+// weiterverwendet wird. Vorher wurde jeder nicht-leere Wert akzeptiert.
+$id = isset($_GET["id"]) ? articleIdValidator($_GET["id"]) : false;
+
+if ($id !== false) {
     try {
-        $id = $_GET["id"];
         $articleManager = ArticleManager::getInstance();
         $article = $articleManager->getArticle($id);
         if($article != null){
@@ -38,7 +42,7 @@ if (isset($_GET["id"]) && !empty($_GET["id"])){
         }
 
         $commentManager = CommentManager::getInstance();
-        $comments = $commentManager->getCommentsByArticle($_GET["id"]);
+        $comments = $commentManager->getCommentsByArticle($id); // NEU: validierte ID statt rohem $_GET["id"]
 
         foreach ($comments as $comment) {
             if ($comment->isReply()) {
@@ -49,8 +53,9 @@ if (isset($_GET["id"]) && !empty($_GET["id"])){
             }
         }
 
-    } catch (Exception $e){
+    } catch (Throwable $e) {
         $_SESSION["message"] = "internal_error";
+        header("Location: index.php");
         exit();
     }
 }else{

php/controller/updateArticle-controller.php

@@ -7,21 +7,27 @@ require_once '../model/LocalArticleManager.php';
 require_once '../model/ArticleManager.php';
 require_once '../model/Article.php';
 require_once '../validator/article-validator.php';
+require_once '../../includes/article-block-helper.php';
+require_once '../../includes/csrf.php'; // NEU: CSRF-Schutz
 
-if (!isset($_SESSION["user_email"])) {
+if (!isset($_SESSION["user"])) {
     header("Location: index.php?pfad=login");
     exit();
 }
 
 if ($_SERVER["REQUEST_METHOD"] === "POST") {
-    $_SESSION["old_title"]    = $_POST["title"] ?? '';
-    $_SESSION["old_content"]  = $_POST["content"] ?? '';
-    $_SESSION["old_category"] = $_POST["category"] ?? '';
-    $_SESSION["old_tags"]     = $_POST["tags"] ?? '';
 
-    if (isset($_GET["id"]) && !empty($_GET["id"])) {
-        $id = $_GET["id"];
-    } else {
+    // CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird
+    if (!csrf_verify()) {
+        $_SESSION["message"] = "invalid_csrf_token";
+        header("location: ../../index.php?pfad=updateArticle");
+        exit();
+    }
+
+    // Die Beitrags-ID muss eine gültige numerische ID sein
+    $id = filter_input(INPUT_GET, "id", FILTER_VALIDATE_INT);
+
+    if ($id === false || $id === null) {
         $_SESSION["message"] = "missing_id";
         header("location: ../../index.php?pfad=updateArticle");
         exit();
@@ -30,6 +36,14 @@ if ($_SERVER["REQUEST_METHOD"] === "POST") {
     try {
         $articleManager = ArticleManager::getInstance();
         $article = $articleManager->getArticle($id);
+
+        // Existenz des Beitrags prüfen, bevor auf $article zugegriffen wird.
+        if ($article === null) {
+            $_SESSION["message"] = "missing_id";
+            header("location: ../../index.php?pfad=updateArticle");
+            exit();
+        }
+
         if ($article->getAuthor() != $_SESSION["user_email"]) {
             $_SESSION["message"] = "unauthorized_access";
             header("location: ../../index.php");
@@ -41,16 +55,56 @@ if ($_SERVER["REQUEST_METHOD"] === "POST") {
         exit();
     }
 
-    if (!isset($_POST["title"]) ||!isset($_POST["content"]) || !isset($_POST["category"])){
+    $uploadDir = __DIR__ . '/../../uploads/';
+    if (!file_exists($uploadDir)) {
+        mkdir($uploadDir, 0755, true);
+    }
+
+    // Formularzustand (Titel/Tags/Kategorie/Blöcke) immer sichern, damit er nach einem
+    // Redirect (PRG-Pattern oder Validierungsfehler) wieder angezeigt werden kann.
+    $_SESSION["old_title"]    = $_POST["title"] ?? '';
+    $_SESSION["old_tags"]     = $_POST["tags"] ?? '';
+    $_SESSION["old_category"] = $_POST["category"] ?? '';
+
+    $blocks = rebuildBlocksFromPost($_POST['blocks'] ?? [], $_FILES['blocks'] ?? [], $uploadDir);
+    $_SESSION["old_content"] = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+
+    // ---------------------------------------------------------------------
+    // Zwischen-Schritt: Block hinzufügen oder entfernen (kein echtes Speichern).
+    // Wird bei aktivem JavaScript per preventDefault() abgefangen und lokal im
+    // DOM erledigt (js/editor.js) – ohne JS läuft dieser Server-Roundtrip.
+    // ---------------------------------------------------------------------
+    if (isset($_POST['editor_action']) && $_POST['editor_action'] !== '') {
+        $action = $_POST['editor_action'];
+
+        if ($action === 'add_text') {
+            $blocks[] = ['type' => 'text', 'value' => ''];
+        } elseif ($action === 'add_image') {
+            $blocks[] = ['type' => 'image', 'value' => ''];
+        } elseif (str_starts_with($action, 'delete_block:')) {
+            $deleteIndex = (int) substr($action, strlen('delete_block:'));
+            unset($blocks[$deleteIndex]);
+            $blocks = array_values($blocks);
+        }
+
+        $_SESSION["old_content"] = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+        header("location: ../../index.php?pfad=updateArticle&id=$id");
+        exit();
+    }
+
+    // ---------------------------------------------------------------------
+    // Echtes Speichern
+    // ---------------------------------------------------------------------
+    if (!isset($_POST["title"]) || !isset($_POST["category"])) {
         $_SESSION["message"] = "missing_parameters";
         header("location: ../../index.php?pfad=updateArticle&id=$id");
         exit();
-    }else{
-        $title = $_POST["title"];
-        $content = $_POST["content"];
-        $author = $_SESSION["user_email"];
+    } else {
+        $title    = $_POST["title"];
+        $content  = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+        $author   = $_SESSION["user_email"];
         $category = $_POST["category"];
-        $tags = $_POST['tags'] ?? '';
+        $tags     = $_POST['tags'] ?? '';
 
         // -------------------------------- Validierung der Daten: -------------------------
         if (!articleTitleValidator($title)) {
@@ -88,91 +142,56 @@ if ($_SERVER["REQUEST_METHOD"] === "POST") {
             $cleanedTags = implode(',', $cleanedTags);
         }
 
-        // --------------------------------------- Base64-Bilder speichern ---------------------------------------------
-        $blocks = json_decode($content, true);
-        $uploadDir = __DIR__ . '/../../uploads/';
-
-        if (!file_exists($uploadDir)) {
-            mkdir($uploadDir, 0755, true);
-        }
-
-        // ----------------- Gelöschte Bilder über die JS-Löschliste entfernen ----------------- TODO: Gelöschte Bilder über die JS-Löschliste entfernen
-        /*if (isset($_POST['deleted_images'])) {
-            $deletedImages = json_decode($_POST['deleted_images'], true);
-
-            // Wir ermitteln den physisch echten, absoluten Pfad zum uploads-Ordner auf der Festplatte
-            $uploadDir = realpath(__DIR__ . '/../../uploads') . DIRECTORY_SEPARATOR;
-
-            if (is_array($deletedImages)) {
-                foreach ($deletedImages as $imagePath) {
-                    // Nur den reinen Dateinamen heraustrennen (z.B. img_65a123.jpg)
-                    $filename = basename($imagePath);
-                    $fullDeletePath = $uploadDir . $filename;
-
-                    // Debugging & Löschen:
-                    if (file_exists($fullDeletePath)) {
-                        // Versuchen zu löschen. Wenn es fehlschlägt, Fehlermeldung erzwingen
-                        if (!@unlink($fullDeletePath)) {
-                            $error = error_get_last();
-                            die("Datei existiert, aber PHP darf sie nicht löschen! Grund: " . $error['message']);
-                        }
-                    } else {
-                        // Wenn PHP die Datei an diesem Pfad nicht findet, brechen wir zum Debuggen ab
-                        // die("PHP findet die Datei nicht unter dem Pfad: " . $fullDeletePath);
-                    }
+        // ----------------- Verwaiste Bilder aufräumen -----------------
+        // Bilder, die im alten (gespeicherten) Content vorkamen, im neuen aber nicht
+        // mehr referenziert werden, wurden vom Nutzer entfernt oder ersetzt -> löschen.
+        // Hinweis/TODO: Bilder, die innerhalb derselben Bearbeitungs-Sitzung neu
+        // hochgeladen und noch vor dem finalen Speichern wieder entfernt wurden,
+        // werden hierüber nicht erfasst (sie tauchten nie im alten Content auf) und
+        // bleiben als Datei liegen. Für eine vollständige Bereinigung würde sich ein
+        // regelmäßiger Cleanup-Job anbieten, der verwaiste Dateien im uploads/-Ordner
+        // mit den in der Datenbank referenzierten Pfaden abgleicht.
+        $oldBlocks = json_decode($article->getContent(), true);
+        $oldImagePaths = [];
+        if (is_array($oldBlocks)) {
+            foreach ($oldBlocks as $oldBlock) {
+                if (($oldBlock['type'] ?? '') === 'image'
+                    && !empty($oldBlock['value'])
+                    && is_string($oldBlock['value'])
+                    && str_starts_with($oldBlock['value'], 'uploads/')) {
+                    $oldImagePaths[] = $oldBlock['value'];
                 }
             }
-        }*/
-
-        // ----------------------- NEU hinzugefügte Base64-Bilder: --------------------------
-        if (is_array($blocks)) {
-            foreach ($blocks as &$block) {
-                // Prüfen, ob der Block ein Bild ist und ein NEUES Bild (Base64-Format) enthält
-                if (isset($block['type']) && isset($block['value']) && $block['type'] === 'image' && is_string($block['value'])) {
-
-                    if (str_starts_with($block['value'], 'data:image/')) {
-                        $parts = explode(',', $block['value']);
-                        if (count($parts) >= 2) {
-                            $metadata = $parts[0];
-                            $base64Data = $parts[1];
-
-                            preg_match('/data:image\/(?<extension>.*?);/', $metadata, $matches);
-                            $extension = $matches['extension'] ?? 'jpg';
-                            if ($extension === 'jpeg') { $extension = 'jpg'; }
-
-                            $fileName = 'img_' . uniqid() . '.' . $extension;
-                            $filePath = $uploadDir . $fileName;
-
-                            if (file_put_contents($filePath, base64_decode($base64Data)) !== false) {
-                                $block['value'] = 'uploads/' . $fileName;
-                            } else {
-                                $_SESSION["message"] = "image_upload_error";
-                                header("location: ../../index.php?pfad=updateArticle&id=$id");
-                                exit();
-                            }
-                        }
-                    }
-                }
-            }
-            unset($block);
         }
 
-        // Aktualisiertes Array wieder in JSON konvertieren
-        $finalContent = json_encode($blocks, JSON_UNESCAPED_UNICODE);
+        $newImagePaths = [];
+        foreach ($blocks as $block) {
+            if (($block['type'] ?? '') === 'image' && !empty($block['value'])) {
+                $newImagePaths[] = $block['value'];
+            }
+        }
+
+        $orphanedImages = array_diff($oldImagePaths, $newImagePaths);
+        foreach ($orphanedImages as $orphanedImage) {
+            $absolutePath = __DIR__ . '/../../' . $orphanedImage;
+            if (is_file($absolutePath)) {
+                @unlink($absolutePath);
+            }
+        }
 
         // ----------------- Übertragung der validierten Daten in ArticleManager: ---------------------------
         try {
             $articleManager = ArticleManager::getInstance();
             $article = $articleManager->getArticle($id);
             $article->setTitle($title);
-            $article->setContent($finalContent);
+            $article->setContent($content);
             $article->setCategory($category);
             $article->setTags($cleanedTags);
-            $articleManager->updateArticle($id ,$article, $author);
+            $articleManager->updateArticle($id, $article, $author);
 
             unset($_SESSION["old_title"], $_SESSION["old_content"], $_SESSION["old_category"], $_SESSION["old_tags"]);
 
-        } catch (\Throwable $e){
+        } catch (\Throwable $e) {
             $_SESSION["message"] = $e->getMessage();
             header("location: ../../index.php?pfad=updateArticle&id=$id");
             exit();

php/controller/updateComment-controller.php

@@ -0,0 +1,101 @@
+<?php
+
+if (session_status() === PHP_SESSION_NONE) {
+    session_start();
+}
+
+require_once "php/model/CommentManager.php";
+require_once "includes/csrf.php";
+
+if ($_SERVER["REQUEST_METHOD"] !== "POST") {
+    header("Location: index.php");
+    exit();
+}
+
+if (!isset($_SESSION["user_email"])) {
+    header("Location: index.php?pfad=login");
+    exit();
+}
+
+// CSRF-Token prüfen, bevor irgendeine Änderung vorgenommen wird
+if (!csrf_verify()) {
+    $_SESSION["comment_message"] = "Deine Sitzung ist abgelaufen. Bitte lade die Seite neu.";
+    $_SESSION["comment_message_type"] = "error";
+    header("Location: index.php");
+    exit();
+}
+
+$commentId = filter_input(
+    INPUT_POST,
+    "comment_id",
+    FILTER_VALIDATE_INT
+);
+
+$articleId = filter_input(
+    INPUT_POST,
+    "article_id",
+    FILTER_VALIDATE_INT
+);
+
+$content = trim($_POST["content"] ?? "");
+
+/*
+ * Ohne gültige Beitrags-ID kann nicht sicher
+ * zum ursprünglichen Beitrag zurückgeleitet werden.
+ */
+if (!$articleId) {
+    header("Location: index.php");
+    exit();
+}
+
+/*
+ * Kommentar-ID und Inhalt werden geprüft.
+ */
+if (!$commentId || $content === "") {
+    $_SESSION["comment_message"] =
+        "Der Kommentar darf nicht leer sein.";
+
+    $_SESSION["comment_message_type"] = "error";
+
+    header(
+        "Location: index.php?pfad=showArticle&id="
+        . urlencode((string) $articleId)
+        . "#comments"
+    );
+    exit();
+}
+
+try {
+    $commentManager = CommentManager::getInstance();
+
+    $updated = $commentManager->updateComment(
+        $commentId,
+        $_SESSION["user_email"],
+        $content
+    );
+
+    if ($updated) {
+        $_SESSION["comment_message"] =
+            "Der Kommentar wurde erfolgreich bearbeitet.";
+
+        $_SESSION["comment_message_type"] = "success";
+    } else {
+        $_SESSION["comment_message"] =
+            "Der Kommentar konnte nicht bearbeitet werden.";
+
+        $_SESSION["comment_message_type"] = "error";
+    }
+
+} catch (Throwable $e) {
+    $_SESSION["comment_message"] =
+        "Beim Bearbeiten des Kommentars ist ein Fehler aufgetreten.";
+
+    $_SESSION["comment_message_type"] = "error";
+}
+
+header(
+    "Location: index.php?pfad=showArticle&id="
+    . urlencode((string) $articleId)
+    . "#comments"
+);
+exit();

php/model/Comment.php

@@ -13,7 +13,7 @@ class Comment
     private int $id;
     private int $articleId;
     private ?int $parentCommentId;
-    private string $author;
+    private ?string $author;
     private string $content;
     private string $created;
 
@@ -23,7 +23,7 @@ class Comment
      * @param int $id Eindeutige ID des Kommentars
      * @param int $articleId ID des zugehörigen Beitrags
      * @param int|null $parentCommentId ID des Eltern-Kommentars oder null
-     * @param string $author Autor des Kommentars
+     * @param string|null $author Autor des Kommentars oder null bei gelöschten Kommentaren
      * @param string $content Inhalt des Kommentars
      * @param string $created Erstellungsdatum des Kommentars
      */
@@ -31,7 +31,7 @@ class Comment
         int $id,
         int $articleId,
         ?int $parentCommentId,
-        string $author,
+        ?string $author,
         string $content,
         string $created
     ) {
@@ -86,9 +86,9 @@ class Comment
     /**
      * Gibt den Autor des Kommentars zurück.
      *
-     * @return string Autor
+     * @return string|null Autor oder null bei gelöschten Kommentaren
      */
-    public function getAuthor(): string
+    public function getAuthor(): ?string
     {
         return $this->author;
     }

php/model/CommentManagerDAO.php

@@ -51,4 +51,40 @@ interface CommentManagerDAO
      * @return Comment[] Liste der Kommentare
      */
     public function getCommentsByAuthor($author);
+    /**
+     * Löscht einen einzelnen Kommentar des angemeldeten Nutzers.
+     *
+     * Kommentare ohne Antworten werden vollständig entfernt.
+     * Kommentare mit Antworten bleiben als anonymer Platzhalter erhalten.
+     *
+     * @param int $commentId ID des Kommentars
+     * @param string $author E-Mail-Adresse des Autors
+     * @return bool true, wenn der Kommentar gefunden und gelöscht wurde
+     */
+    public function deleteComment(int $commentId, string $author): bool;
+
+    /**
+     * Löscht beziehungsweise anonymisiert alle Kommentare eines Nutzers.
+     *
+     * Diese Methode wird bei der Löschung eines Benutzerkontos verwendet.
+     *
+     * @param string $author E-Mail-Adresse des Nutzers
+     * @return void
+     */
+    public function deleteCommentsByAuthor(string $author): void;
+    /**
+     * Bearbeitet einen Kommentar des angemeldeten Nutzers.
+     *
+     * Nur der Autor des Kommentars darf den Inhalt ändern.
+     *
+     * @param int $commentId ID des Kommentars
+     * @param string $author E-Mail-Adresse des Autors
+     * @param string $content Neuer Kommentarinhalt
+     * @return bool true, wenn der Kommentar bearbeitet wurde
+     */
+    public function updateComment(
+        int $commentId,
+        string $author,
+        string $content
+    ): bool;
 }

php/model/DatabaseArticleManager.php

@@ -63,12 +63,9 @@ class DatabaseArticleManager implements ArticleManagerDAO {
                     VALUES (:title, :content, :author, :category, :tags);";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
 
             // Verknüpft die übergebenen Parameter exakt mit den SQL-Platzhaltern
-            $success = $command->execute([
+            $command->execute([
                 ":title"    => $title,
                 ":content"  => $content,
                 ":author"   => $author,
@@ -76,14 +73,14 @@ class DatabaseArticleManager implements ArticleManagerDAO {
                 ":tags"     => $tags
             ]);
 
-            if (!$success) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
             return intval($db->lastInsertId());
 
         } catch (PDOException $e) {
-            throw new InternalServerErrorException($e->getMessage());
+            // NEU: Die rohe PDO-Fehlermeldung wird nicht mehr direkt in die
+            // eigene Exception übernommen (Kapselung), sondern durch eine
+            // generische, sprechende Meldung ersetzt - analog zu den übrigen
+            // Methoden dieser Klasse und zu DatabaseUserManager.
+            throw new InternalServerErrorException("internal_error");
         }
     }
 
@@ -106,11 +103,8 @@ class DatabaseArticleManager implements ArticleManagerDAO {
                     WHERE id = :id;";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
 
-            $success = $command->execute([
+            $command->execute([
                 ":id"       => $id,
                 ":title"    => $article->getTitle(),
                 ":content"  => $article->getContent(),
@@ -120,7 +114,7 @@ class DatabaseArticleManager implements ArticleManagerDAO {
             ]);
 
             // rowCount() prüft, ob eine Zeile mit dieser ID existierte und geändert werden konnte
-            if (!$success || $command->rowCount() === 0) {
+            if ($command->rowCount() === 0) {
                 // Falls die ID nicht existiert, prüfen wir, ob sie überhaupt da ist
                 if (!$this->getArticle($id)) {
                     throw new NotFoundException("missing_id");
@@ -148,13 +142,7 @@ class DatabaseArticleManager implements ArticleManagerDAO {
             $sql = "DELETE FROM articles WHERE id = :id;";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
-            if (!$command->execute([":id" => $id])) {
-                throw new InternalServerErrorException("internal_error");
-            }
+            $command->execute([":id" => $id]);
         } catch (PDOException $exc) {
             throw new InternalServerErrorException("internal_error");
         }
@@ -167,10 +155,6 @@ class DatabaseArticleManager implements ArticleManagerDAO {
             $sql = "SELECT * FROM articles WHERE id = :id;";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
             $command->execute([":id" => $id]);
             $row = $command->fetch(PDO::FETCH_ASSOC);
 
@@ -202,10 +186,6 @@ class DatabaseArticleManager implements ArticleManagerDAO {
             $sql = "SELECT * FROM articles;";
 
             $command = $db->query($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
             $rows = $command->fetchAll(PDO::FETCH_ASSOC);
             $articles = [];
 
@@ -234,10 +214,6 @@ class DatabaseArticleManager implements ArticleManagerDAO {
             $sql = "SELECT * FROM articles WHERE author = :author;";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
             $command->execute([":author" => $author]);
             $rows = $command->fetchAll(PDO::FETCH_ASSOC);
             $filteredArticles = [];
@@ -270,10 +246,6 @@ class DatabaseArticleManager implements ArticleManagerDAO {
             $sql = "SELECT * FROM articles WHERE category = :category;";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
             $command->execute([":category" => $category]);
             $rows = $command->fetchAll(PDO::FETCH_ASSOC);
             $filteredArticles = [];
@@ -318,21 +290,14 @@ class DatabaseArticleManager implements ArticleManagerDAO {
                        OR tags LIKE :keyword";
 
             $command = $db->prepare($sql);
-            if (!$command) {
-                throw new InternalServerErrorException("internal_error");
-            }
 
             // Wildcards für die Suche hinzufügen
             $searchParam = '%' . $cleankeyword . '%';
 
-            $success = $command->execute([
+            $command->execute([
                 ":keyword" => $searchParam
             ]);
 
-            if (!$success) {
-                throw new InternalServerErrorException("internal_error");
-            }
-
             $rows = $command->fetchAll(PDO::FETCH_ASSOC);
             $filteredArticles = [];
 

php/model/DatabaseCommentManager.php

@@ -17,7 +17,7 @@ class DatabaseCommentManager implements CommentManagerDAO
     /**
      * Erstellt die Kommentartabelle, falls diese noch nicht existiert.
      */
-    public function __construct()
+    private function __construct()
     {
         $this->dbPath = __DIR__ . '/../../db/eduforgeDB.db';
         DatabaseInitializer::initialize($this->dbPath);
@@ -223,4 +223,194 @@ class DatabaseCommentManager implements CommentManagerDAO
 
         return $comments;
     }
+    /**
+     * Bearbeitet einen eigenen Kommentar.
+     *
+     * Der Kommentar wird nur geändert, wenn er dem
+     * angemeldeten Nutzer gehört.
+     *
+     * @param int $commentId ID des Kommentars
+     * @param string $author E-Mail-Adresse des Autors
+     * @param string $content Neuer Kommentarinhalt
+     * @return bool true, wenn der Kommentar bearbeitet wurde
+     */
+    public function updateComment(
+        int $commentId,
+        string $author,
+        string $content
+    ): bool {
+        try {
+            $db = $this->getConnection();
+
+            $command = $db->prepare("
+            UPDATE comments
+            SET content = :content
+            WHERE id = :commentId
+              AND author = :author
+        ");
+
+            $command->execute([
+                ":content" => $content,
+                ":commentId" => $commentId,
+                ":author" => $author
+            ]);
+
+            return $command->rowCount() > 0;
+
+        } catch (PDOException $e) {
+            throw new RuntimeException("internal_error");
+        }
+    }
+    /**
+     * Löscht einen eigenen Kommentar.
+     *
+     * Hat der Kommentar Antworten, wird er anonymisiert.
+     * Hat er keine Antworten, wird er vollständig gelöscht.
+     *
+     * @param int $commentId ID des Kommentars
+     * @param string $author E-Mail-Adresse des Autors
+     * @return bool true, wenn der Kommentar gelöscht wurde
+     */
+    public function deleteComment(int $commentId, string $author): bool
+    {
+        try {
+            $db = $this->getConnection();
+
+            /*
+             * Zuerst wird geprüft, ob der Kommentar existiert
+             * und wirklich dem angemeldeten Nutzer gehört.
+             */
+            $checkCommand = $db->prepare("
+            SELECT id
+            FROM comments
+            WHERE id = :commentId
+              AND author = :author
+        ");
+
+            $checkCommand->execute([
+                ":commentId" => $commentId,
+                ":author" => $author
+            ]);
+
+            if ($checkCommand->fetch() === false) {
+                return false;
+            }
+
+            /*
+             * Danach wird geprüft, ob Antworten auf den Kommentar existieren.
+             */
+            $replyCommand = $db->prepare("
+            SELECT COUNT(*)
+            FROM comments
+            WHERE parent_comment_id = :commentId
+        ");
+
+            $replyCommand->execute([
+                ":commentId" => $commentId
+            ]);
+
+            $hasReplies = (int) $replyCommand->fetchColumn() > 0;
+
+            if ($hasReplies) {
+                /*
+                 * Der Kommentar wird für den Kommentarbaum benötigt.
+                 * Deshalb bleibt er als anonymer Platzhalter erhalten.
+                 */
+                $deleteCommand = $db->prepare("
+                UPDATE comments
+                SET author = NULL,
+                    content = 'Dieser Kommentar wurde gelöscht.'
+                WHERE id = :commentId
+                  AND author = :author
+            ");
+            } else {
+                /*
+                 * Ohne Antworten kann der Kommentar vollständig
+                 * aus der Datenbank entfernt werden.
+                 */
+                $deleteCommand = $db->prepare("
+                DELETE FROM comments
+                WHERE id = :commentId
+                  AND author = :author
+            ");
+            }
+
+            $deleteCommand->execute([
+                ":commentId" => $commentId,
+                ":author" => $author
+            ]);
+
+            return $deleteCommand->rowCount() > 0;
+
+        } catch (PDOException $e) {
+            throw new RuntimeException("internal_error");
+        }
+    }
+    /**
+     * Löscht beziehungsweise anonymisiert alle Kommentare eines Nutzers.
+     *
+     * Kommentare ohne Antworten werden vollständig gelöscht.
+     * Kommentare mit Antworten bleiben als anonyme Platzhalter erhalten.
+     *
+     * @param string $author E-Mail-Adresse des Nutzers
+     * @return void
+     */
+    public function deleteCommentsByAuthor(string $author): void
+    {
+        $db = $this->getConnection();
+
+        try {
+            $db->beginTransaction();
+
+            /*
+             * Zuerst werden alle Kommentare ohne Antworten gelöscht.
+             *
+             * Die Schleife ist wichtig, weil durch das Löschen einer Antwort
+             * eventuell auch der darüberliegende Kommentar keine Antworten
+             * mehr besitzt und anschließend ebenfalls gelöscht werden kann.
+             */
+            do {
+                $deleteCommand = $db->prepare("
+                DELETE FROM comments
+                WHERE author = :author
+                  AND NOT EXISTS (
+                      SELECT 1
+                      FROM comments AS replies
+                      WHERE replies.parent_comment_id = comments.id
+                  )
+            ");
+
+                $deleteCommand->execute([
+                    ":author" => $author
+                ]);
+
+                $deletedRows = $deleteCommand->rowCount();
+
+            } while ($deletedRows > 0);
+
+            /*
+             * Kommentare, auf die noch Antworten anderer Nutzer folgen,
+             * müssen für den Kommentarbaum erhalten bleiben.
+             */
+            $placeholderCommand = $db->prepare("
+            UPDATE comments
+            SET author = NULL,
+                content = 'Dieser Kommentar wurde gelöscht.'
+            WHERE author = :author
+        ");
+
+            $placeholderCommand->execute([
+                ":author" => $author
+            ]);
+
+            $db->commit();
+
+        } catch (PDOException $e) {
+            if ($db->inTransaction()) {
+                $db->rollBack();
+            }
+
+            throw new RuntimeException("internal_error");
+        }
+    }
 }

php/model/DatabaseInitializer.php

@@ -46,17 +46,17 @@ class DatabaseInitializer {
 
                 $db->exec("
                     CREATE TABLE IF NOT EXISTS comments (
-                        id INTEGER PRIMARY KEY AUTOINCREMENT,
-                        article_id INTEGER NOT NULL,
-                        parent_comment_id INTEGER NULL,
-                        author TEXT NOT NULL,
-                        content TEXT NOT NULL,
-                        created TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
-                        FOREIGN KEY (article_id) REFERENCES articles(id) ON DELETE CASCADE,
-                        FOREIGN KEY (author) REFERENCES users(email) ON DELETE CASCADE,
-                        FOREIGN KEY (parent_comment_id) REFERENCES comments(id) ON DELETE CASCADE
-                    );
-                ");
+                     id INTEGER PRIMARY KEY AUTOINCREMENT,
+                    article_id INTEGER NOT NULL,
+                    parent_comment_id INTEGER NULL,
+                    author TEXT NULL,
+                    content TEXT NOT NULL,
+                    created TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
+                    FOREIGN KEY (article_id) REFERENCES articles(id) ON DELETE CASCADE,
+                    FOREIGN KEY (author) REFERENCES users(email) ON DELETE SET NULL,
+                    FOREIGN KEY (parent_comment_id) REFERENCES comments(id) ON DELETE CASCADE
+                        );
+                    ");
 
                 $initializer = new self();
                 $availableEmails = $initializer->seedDummyUsers($db);
@@ -234,13 +234,18 @@ class DatabaseInitializer {
             // Bestimmt per Zufall einen Autor aus dem Pool der gültigen E-Mails
             $randomAuthor = $availableEmails[array_rand($availableEmails)];
 
+            // Text in (blocks[i][type]/[text]/[image])-Format umwandeln:
+            $content = json_encode([
+                ['type' => 'text', 'value' => $article[1]]
+            ], JSON_UNESCAPED_UNICODE);
+
             $articleInsertStmt->execute([
                 ':title' => $article[0],
-                ':content' => $article[1],
+                ':content' => $content,
                 ':author' => $randomAuthor,
                 ':category' => $article[2],
                 ':tags' => $article[3]
             ]);
         }
     }
-}
+}

php/validator/article-validator.php

@@ -1,5 +1,20 @@
 <?php
 
+/**
+ * NEU: Prüft, ob ein übergebener Wert eine gültige, positive
+ * Beitrags-ID ist. Wird überall dort verwendet, wo eine Artikel-ID
+ * aus $_GET oder $_POST entgegengenommen wird
+ *
+ * @param mixed $id
+ * @return int|false Die validierte ID als int, oder false bei Ungültigkeit
+ */
+function articleIdValidator($id)
+{
+    $options = ["options" => ["min_range" => 1]];
+
+    return filter_var($id, FILTER_VALIDATE_INT, $options);
+}
+
 /**
  * Prüft, ob der Titel die folgenden Bedingungen erfüllt:
  * Buchstaben von a-z; A-Z