chore(release): v1.3.25 stable

golangci-lint schlug beim Stable-Release-Rebuild neu fehl:
management-ui/node_modules/flatted/golang/pkg/flatted/flatted.go (eine
rohe .go-Datei ohne eigenes go.mod, Teil des npm-Pakets "flatted") hat
sich durch den bun-statt-npm-Rebuild inhaltlich geändert und wurde vom
govet-Sublinter neu bemängelt — geriet nur ins Gate weil sie ohne
Modul-Grenze automatisch unter `./...` des Root-Moduls fällt.

management-ui/go.mod als reine Grenze (kein eigenständiges Buildable-
Modul) stoppt `go vet/build/test ./...` davor, überhaupt dort
hineinzulaufen — robuster als ein golangci-lint-Pfad-Exclude, weil es
auch die plain go vet/build/test-Schritte in release-check erfasst,
nicht nur golangci-lint.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

VERSION

@@ -1 +1 @@
-1.3.23
+1.3.25

management-ui/go.mod

@@ -0,0 +1,8 @@
+// Modul-Grenze, kein eigenständiges Go-Modul mit Code. Verhindert dass
+// `go vet/build/test ./...` im Root-Modul in management-ui/node_modules/
+// hineinläuft — npm-Pakete (z.B. flatted) shippen dort teils rohe .go-
+// Dateien ohne eigenes go.mod, die sich bei jedem bun/npm install ändern
+// können und sonst ungefragt in EdgeGuards Go-Quality-Gates landen.
+module git.netcell-it.de/projekte/edgeguard-native/management-ui
+
+go 1.26

packaging/debian/edgeguard-api/DEBIAN/postinst

@@ -302,9 +302,18 @@ SUDOERS
         # in die apt-Quelle. Ab jetzt publiziert publish.sh/release.sh nur
         # noch nach stable/testing — ohne diese Migration würden
         # Bestandsnodes stumm keine neuen Updates mehr sehen (main bleibt
-        # auf dem letzten main-Stand stehen). Idempotent: greift nur wenn
-        # die Datei existiert UND noch auf "main" zeigt.
+        # auf dem letzten main-Stand stehen). Idempotent.
+        #
+        # netcell-edgeguard.list: NOCH ältere Installer-Generation vor dem
+        # Rename auf edgeguard.list (install.sh räumt sie nur bei einem
+        # FRISCHEN Install auf, nie bei einem Upgrade — auf Bestandsnodes,
+        # die nie neu installiert wurden, ist sie ggf. noch die aktive
+        # Datei). Erst konsolidieren, dann main→stable.
         EG_SOURCES_LIST=/etc/apt/sources.list.d/edgeguard.list
+        EG_LEGACY_LIST=/etc/apt/sources.list.d/netcell-edgeguard.list
+        if [ -f "$EG_LEGACY_LIST" ] && [ ! -f "$EG_SOURCES_LIST" ]; then
+            mv "$EG_LEGACY_LIST" "$EG_SOURCES_LIST"
+        fi
         if [ -f "$EG_SOURCES_LIST" ] && grep -q ' trixie main$' "$EG_SOURCES_LIST"; then
             sed -i 's/ trixie main$/ trixie stable/' "$EG_SOURCES_LIST"
             apt-get update -qq || true

scripts/release.sh

@@ -50,6 +50,15 @@ if [ -z "${GITEA_TOKEN:-}" ]; then
 fi
 export GITEA_TOKEN
 
+# `make ui` fällt bei fehlendem bun auf `npm install` zurück (Convenience
+# für schnelle lokale Builds) — das löst Dependencies gegen package.json
+# neu auf statt gegen das gepinnte management-ui/bun.lock, und hinterlässt
+# eine package-lock.json die nichts mit dem committeten Lockfile zu tun
+# hat. Für einen Release (Testing ODER Stable) ist das nicht akzeptabel —
+# beide Kanäle müssen reproduzierbar aus dem gepinnten Lockfile bauen.
+command -v bun >/dev/null 2>&1 || \
+  abort "bun fehlt — Release-Builds müssen aus management-ui/bun.lock bauen, nicht aus dem npm-Fallback. Installieren: https://bun.sh/install"
+
 # ─── Testing-Version: datumsbasiert YYYY.MM.DD.NN ──────────────────────
 # NN = laufende Nummer für den Tag, ermittelt aus den bereits im Registry
 # vorhandenen Versionen des Meta-Pakets (edgeguard) mit dem heutigen