Robustheits-Fix: RFC-5321-konforme E-Mail-Local-Parts (keine Rand-Punkte/Doppelpunkte) + sAMAccountName-Fallback bei Nicht-Latin-Namen + Release v11

backend/ldapOperations.js

@@ -168,7 +168,8 @@ async function createADUser({ ou, vorname, nachname, email, username, password,
     // Build UPN — FIX: Username umlautfrei normalisieren (ä→ae etc.),
     // damit kein ungültiger UPN wie müller@... entsteht.
     const upnSuffix = LDAP_UPN_SUFFIX || LDAP_BIND_USER.split('@')[1] || LDAP_DOMAIN.toLowerCase() + '.intra';
-    const userPrincipalName = toSamAccountName(username) + '@' + upnSuffix;
+    const normalizedUsername = toSamAccountName(username) || 'user' + Date.now().toString(36);
+    const userPrincipalName = normalizedUsername + '@' + upnSuffix;
 
     // sAMAccountName: max 20 chars
     let sAMAccountName = toSamAccountName(username);
@@ -176,6 +177,11 @@ async function createADUser({ ou, vorname, nachname, email, username, password,
       sAMAccountName = toSamAccountName(nachname + vorname.charAt(0));
     }
     sAMAccountName = sAMAccountName.substring(0, 20);
+    // Fallback: Name nur aus Sonderzeichen → generischer Name (AD lehnt leeren sAMAccountName ab)
+    if (!sAMAccountName) {
+      sAMAccountName = ('user' + Date.now().toString(36)).substring(0, 20);
+      console.warn('[LDAP] sAMAccountName war nach Normalisierung leer — Fallback:', sAMAccountName);
+    }
 
     // userAccountControl: 514 = NORMAL_ACCOUNT + ACCOUNTDISABLE
     // ldapts requires attribute values as strings (numbers cause "The string argument must be of type string" error)

backend/routes/ad.js

@@ -78,6 +78,14 @@ router.post('/create-user', adminMiddleware, validate(createADUserSchema), async
     }
     sAMAccountName = sAMAccountName.substring(0, 20);
 
+    // Fallback: Wenn der Name nur aus Sonderzeichen bestand (z.B. rein chinesisch),
+    // wäre sAMAccountName leer — AD würde den User ablehnen. Dann generischen
+    // Namen aus Zeitstempel verwenden und den Original-Username als displayName behalten.
+    if (!sAMAccountName) {
+      sAMAccountName = 'user' + Date.now().toString(36);
+      console.warn('[AD] sAMAccountName war nach Normalisierung leer — Fallback:', sAMAccountName);
+    }
+
     const existing = await checkADUserExists(username, sAMAccountName);
     if (existing) {
       return res.status(409).json({ error: 'Benutzername "' + username + '" existiert bereits im Active Directory.', dn: existing.distinguishedName });

backend/umlauts.js

@@ -19,13 +19,18 @@ function transliterateUmlauts(str) {
  * Normalisiert einen Namen für den lokalen Teil einer E-Mail-Adresse:
  * Umlaute → ASCII, Kleinbuchstaben, Leerzeichen → Punkte, nur a-z0-9. erlaubt.
  * Beispiel: "Jürgen Schröder" → "juergen.schroeder"
+ *
+ * RFC 5321-konform: Kein führender/abschließender Punkt, keine Doppelpunkte
+ * (".."), kein leerer Local-Part (gibt '' zurück — Aufrufer muss Fallback haben).
  */
 function toEmailLocalPart(str) {
   if (typeof str !== 'string') return '';
   return transliterateUmlauts(str)
     .toLowerCase()
     .replace(/\s+/g, '.')
-    .replace(/[^a-z0-9.]/g, '');
+    .replace(/[^a-z0-9.]/g, '')
+    .replace(/\.{2,}/g, '.')   // ".." → "." (durch aufeinanderfolgende Trenner)
+    .replace(/^\.+|\.+$/g, ''); // führende/abschließende Punkte entfernen (RFC 5321)
 }
 
 /**