From 10e4e9ef79ea5888f0f5e3df74ad60c076029afa Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?R=C3=BCdiger=20Rolf?= <rrolf@uni-osnabrueck.de>
Date: Fri, 2 Oct 2026 13:44:32 +0200
Subject: [PATCH] =?UTF-8?q?chore:=20Cleanup=20aus=20dem=20Framework-Review?=
 =?UTF-8?q?=20=E2=80=94=20CapabilitiesView=20raus,=20=5F=5Fversion=5F=5F?=
 =?UTF-8?q?=20aus=20Metadaten,=20CHANGELOG=20konsolidiert?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

basicbar-integrations 0.3.0: CapabilitiesView/`capabilities/` entfernt (kein
Tool hat den Endpunkt je aufgerufen); stattdessen
capabilities.capabilities_payload() mit den drei Schlüsseln, die alle vier
Tools heute von Hand in ihr whoami mischen.

Alle Django-Pakete (auth 0.2.1, lti 0.1.5, integrations 0.3.0): __version__
via importlib.metadata statt eines zweiten handgepflegten Strings.

CHANGELOG: 17 längst getaggte Releases standen unter "[Unreleased] (→ wird
…)" — jetzt je ein datierter Abschnitt pro Tag (Daten aus den Tags).
README-Paket-Tabelle ohne veraltete Versionsspalte; Doku-Drift zum
Capabilities-Endpunkt in CLAUDE.md und EXTRAKTIONSPLAN bereinigt.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
---
 CHANGELOG.md                                  | 99 +++++++++++++++----
 CLAUDE.md                                     |  3 +-
 README.md                                     | 18 ++--
 docs/EXTRAKTIONSPLAN.md                       | 17 ++--
 .../basicbar-auth/basicbar_auth/__init__.py   |  9 +-
 packages/django/basicbar-auth/pyproject.toml  |  2 +-
 .../django/basicbar-integrations/README.md    | 18 +++-
 .../basicbar_integrations/__init__.py         |  9 +-
 .../basicbar_integrations/capabilities.py     | 30 ++++++
 .../basicbar_integrations/tests/test_views.py | 38 +++++--
 .../basicbar_integrations/urls.py             |  3 +-
 .../basicbar_integrations/views.py            | 25 +----
 .../basicbar-integrations/pyproject.toml      |  4 +-
 .../basicbar-lti/basicbar_lti/__init__.py     |  9 +-
 packages/django/basicbar-lti/pyproject.toml   |  2 +-
 15 files changed, 206 insertions(+), 80 deletions(-)
 create mode 100644 packages/django/basicbar-integrations/basicbar_integrations/capabilities.py

diff --git a/CHANGELOG.md b/CHANGELOG.md
index 5027e6e..7741157 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -7,7 +7,40 @@ Changelog ist die Upgrade-Anleitung für die Tools.
 
 ## [Unreleased]
 
-### basicbar-auth (→ wird `auth/v0.2.0`)
+### basicbar-integrations (→ wird `integrations/v0.3.0`)
+
+**`CapabilitiesView` entfernt** (Framework-Review: kein Tool hat
+`GET /api/capabilities/` je aufgerufen — alle vier mischen die Flags in ihr
+`whoami`). An seine Stelle tritt `capabilities.capabilities_payload()` mit
+genau den drei Schlüsseln, die die Tools heute von Hand zusammensetzen
+(`ai_enabled`, `content_default_language`, `content_translation_enabled`).
+`basicbar_integrations.urls` enthält nur noch `translate/`.
+
+Migration: Version heben. Wer `basicbar_integrations.urls` einbindet,
+verliert den unbenutzten Endpunkt — sonst nichts. Empfohlen: in
+`accounts/views.py` `whoami` als
+`{**whoami_payload(request), **capabilities_payload(), …}` schreiben und die
+drei Inline-Flags löschen.
+
+### Alle Django-Pakete (→ werden `auth/v0.2.1`, `lti/v0.1.5`, `integrations/v0.3.0`)
+
+`__version__` kommt aus den Paket-Metadaten (`importlib.metadata`) statt aus
+einem zweiten handgepflegten String — die Versionen drifteten im Review
+auseinander. Ein nicht installierter Checkout meldet `0.0.0.dev0`. Keine
+Migration.
+
+### Repo
+
+- CHANGELOG: alle Releases seit Juli standen unter „[Unreleased] (→ wird …)“,
+  obwohl längst getaggt — jetzt je ein datierter Abschnitt pro Tag.
+- README: die Paket-Tabelle nennt keine Versionsnummern mehr (sie waren vom
+  Juli); aktuelle Stände stehen in den Tags und hier.
+- Doku-Drift zum Capabilities-Endpunkt in CLAUDE.md und EXTRAKTIONSPLAN
+  bereinigt.
+
+## auth/v0.2.0 — 2026-10-01
+
+### basicbar-auth
 
 **Session-Endpunkte und Routen im Paket** (Framework-Review; die vier Tools
 trugen identische Kopien): `basicbar_auth.views` mit `whoami_payload` /
@@ -55,7 +88,9 @@ Fallback.
    Gruppen-Verlust *jede* Admin-Rolle entzieht, muss lokale Beförderungen
    jetzt selbst zurücknehmen (Nutzerverwaltung / Django-Admin).
 
-### @basicbar/ui (→ wird `ui/v0.7.0`)
+## ui/v0.7.0 — 2026-10-01
+
+### @basicbar/ui
 
 **TipTap raus aus den Bundles, die keinen Editor rendern** (Framework-Review):
 `RichTextEditor` liegt jetzt in einem eigenen Entry
@@ -110,7 +145,9 @@ Außerdem:
    Provider ersetzen.
 4. Katalog: keine neuen Keys.
 
-### basicbar-lti (→ wird `lti/v0.1.4`)
+## lti/v0.1.4 — 2026-10-01
+
+### basicbar-lti
 
 **Sicherheit: Reflected XSS im LTI-Login behoben.** Die 400er-Antworten von
 `lti_login` spiegelten `iss`/`client_id` aus GET-Parametern in eine
@@ -118,7 +155,9 @@ HTML-Antwort (Django-Default-Content-Type) — eine präparierte URL konnte so
 Skript auf der Tool-Origin ausführen. Alle Fehlerantworten des Endpunkts sind
 jetzt `text/plain`. Migration: Version heben, sonst nichts.
 
-### basicbar-auth (→ wird `auth/v0.1.1`)
+## auth/v0.1.1 — 2026-10-01
+
+### basicbar-auth
 
 **Sicherheit: Back-Channel-Logout-Tokens werden auf Frische geprüft.** Bisher
 prüfte der Endpunkt nur Signatur, Nonce-Verbot und iss/aud/events/sub — ein
@@ -128,7 +167,9 @@ Logout als DoS). Jetzt ist `iat` Pflicht und darf höchstens
 `exp` wird respektiert. Migration: Version heben; bei stark abweichenden
 Uhren zwischen IdP und Tool ggf. `OIDC_BACKCHANNEL_MAX_AGE` erhöhen.
 
-### basicbar-integrations (→ wird `integrations/v0.2.2`)
+## integrations/v0.2.2 — 2026-10-01
+
+### basicbar-integrations
 
 - `ai.chat_json` und `translation_service.translate` fangen jetzt alle
   Transportfehler (`ConnectionResetError`, `IncompleteRead`, …) als
@@ -140,7 +181,9 @@ Uhren zwischen IdP und Tool ggf. `OIDC_BACKCHANNEL_MAX_AGE` erhöhen.
 - Migration: Version heben; wer `str(exc)` an Nutzer durchreicht, zeigt jetzt
   aussagekräftigere Texte.
 
-### Template
+## Template — 2026-10-01
+
+### Template (basicbar#13, #14, #17)
 
 - **Pins:** basicbar-auth `auth/v0.2.0`, @basicbar/ui `ui/v0.7.0`.
 - `config/urls.py` nutzt `include("basicbar_auth.urls")` (OIDC-Routen inkl.
@@ -186,7 +229,9 @@ Uhren zwischen IdP und Tool ggf. `OIDC_BACKCHANNEL_MAX_AGE` erhöhen.
   Konflikte sind in Gerüst-Dateien (compose, Dockerfiles, settings, api.ts)
   zu erwarten — Diff lesen; die Identitätsdateien bleiben unberührt.
 
-### @basicbar/ui (→ wird `ui/v0.6.0`)
+## ui/v0.6.0 — 2026-10-01
+
+### @basicbar/ui
 
 **Geteilte Einstellungs-Bausteine** (ausleihbar#35): `LanguageOptions`,
 `AppearanceControl` und `PreferencesMenu`. Die ersten beiden sind Menüzeilen
@@ -203,7 +248,9 @@ Migration: additiv, nichts zu tun. Die Tools ergänzen in ihren Katalogen den
 Schlüssel „Preferences“ (die übrigen — Appearance, Auto, „(follows your
 system)“, Light, Dark, Language — existieren meist schon).
 
-### @basicbar/ui (→ wird `ui/v0.5.1`)
+## ui/v0.5.1 — 2026-09-30
+
+### @basicbar/ui
 
 **CSP-tauglicher `RichTextEditor`** (basicbar#9): TipTap hängte beim Mounten
 ein `<style data-tiptap-style>` mit den ProseMirror-Grundregeln an `<head>` —
@@ -219,7 +266,9 @@ Migration: keine, solange das Tool `@basicbar/ui/base.css` importiert (wie
 im README beschrieben). Wer `base.css` nicht einbindet, muss die
 ProseMirror-Regeln selbst bereitstellen.
 
-### basicbar-integrations (→ wird `integrations/v0.2.1`)
+## integrations/v0.2.1 — 2026-09-29
+
+### basicbar-integrations
 
 **Sicherheitsfix:** `clean_media_url` prüfte den rohen String, sodass
 Pfade wie `/media/%2e%2e/api/whoami/` oder `/media/a\..\b` durchkamen —
@@ -242,7 +291,9 @@ konnte — über 300 Zeichen wird jetzt komplett abgelehnt statt gekürzt.
 Migration: keine — reiner Bugfix, die öffentliche Signatur von
 `clean_media_url`/`clean_html` ändert sich nicht.
 
-### @basicbar/ui (→ wird `ui/v0.5.0`)
+## ui/v0.5.0 — 2026-09-29
+
+### @basicbar/ui
 
 **Alt-Text für Bilder in `RichTextEditor`** (basicbar#7, WCAG 1.1.1): direkt
 nach einem erfolgreichen Bild-Upload fragt der Editor per `window.prompt`
@@ -268,7 +319,9 @@ Migration: keine für Tools ohne `onUploadImage` — additiv. Tools mit
 Bild-Upload ergänzen die neuen Übersetzungs-Keys
 `"Image description (alt text)"` und `"Image description"`.
 
-### @basicbar/ui (→ wird `ui/v0.4.0`)
+## ui/v0.4.0 — 2026-09-27
+
+### @basicbar/ui
 
 **`RichTextEditor` + `RichText`** (modulierbar#5), aus AbstimmBAR verschoben:
 der eine WYSIWYG-Editor (TipTap) für formatierte Langtext-Felder — Fett,
@@ -316,7 +369,9 @@ ergänzt die Übersetzungs-Keys `"Bold"`, `"Italic"`, `"Heading (large)"`,
 `"Heading (small)"`, `"Bulleted list"`, `"Numbered list"`, `"Link"`,
 `"Enter URL"`, `"Insert image (or drag and drop)"`, `"Image upload failed"`.
 
-### @basicbar/ui (→ wird `ui/v0.3.1`)
+## ui/v0.3.1 — 2026-08-28
+
+### @basicbar/ui
 
 **Globaler Sprach-Umschalter** (modulierbar#99): Der schwebende
 Übersetzungs-Block zeigt jetzt einen kompakten DE/EN-Umschalter, der mit
@@ -331,15 +386,9 @@ Migration: keine — rein additiv. Neue UI-Strings `"Show all fields in one
 language"` und `"Show all fields in {{language}}"` (Tools ergänzen ihre
 Übersetzungen).
 
-### basicbar-lti (`lti/v0.1.3`, 2026-08-04 — Eintrag nachgetragen)
-
-- `lti_login` antwortet bei fehlenden Parametern (`iss`, `login_hint`,
-  `target_link_uri`) und nicht auflösbarer Plattform-Registrierung
-  (Issuer/Client-ID-Mismatch, auch Trailing-Slash) mit erklärendem `400`
-  statt opakem `500`; pylti1p3-Exceptions werden abgefangen. Migration:
-  Version heben, sonst nichts.
+## integrations/v0.2.0 + ui/v0.3.0 — 2026-07-23
 
-### basicbar-integrations (→ wird `integrations/v0.2.0`) und @basicbar/ui (→ wird `ui/v0.3.0`)
+### basicbar-integrations und @basicbar/ui
 
 **Veraltete Übersetzungen markieren** (modulierbar#31, generisch für alle
 Tools): Wird eine Sprache nach der Übersetzung geändert, gilt die
@@ -376,6 +425,16 @@ Migration (Adoption ist opt-in — ohne neue Props/Aufrufe ändert sich nichts):
    `translation may be outdated`, `The other language was changed since
    this translation.`, `Mark as up to date`.
 
+## lti/v0.1.3 — 2026-07-20
+
+### basicbar-lti (Eintrag nachgetragen am 2026-08-04)
+
+- `lti_login` antwortet bei fehlenden Parametern (`iss`, `login_hint`,
+  `target_link_uri`) und nicht auflösbarer Plattform-Registrierung
+  (Issuer/Client-ID-Mismatch, auch Trailing-Slash) mit erklärendem `400`
+  statt opakem `500`; pylti1p3-Exceptions werden abgefangen. Migration:
+  Version heben, sonst nichts.
+
 ## lti/v0.1.2 — 2026-07-19
 
 ### basicbar-lti
diff --git a/CLAUDE.md b/CLAUDE.md
index 05ed2bf..8e6e904 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -11,7 +11,8 @@ GitHub-Actions-Runner öffentlicher „-bar“-Tools die Pakete erreichen könne
 ## Layout
 
 - `packages/django/basicbar-integrations` — LibreTranslate-/LiteLLM-Clients,
-  Translate- und Capabilities-Endpoint, HTML-Allowlist (nh3).
+  Translate-Endpoint, `capabilities_payload()` fürs `whoami` der Tools,
+  HTML-Allowlist (nh3), Übersetzungs-Sync-Helfer.
 - `packages/django/basicbar-auth` — OIDC (mozilla-django-oidc): Backend,
   Silent Login, Back-Channel-Logout (mit Session-Index `UserSession`, eigene
   Migration), Discovery, `AbstractBasicUser`, Session-Endpunkte
diff --git a/README.md b/README.md
index 14a6f7b..ef82665 100644
--- a/README.md
+++ b/README.md
@@ -19,14 +19,16 @@ Compose · Caddy. Lizenz Apache-2.0.
 
 ## Die Pakete
 
-| Paket | Inhalt | Aktuelles Release |
-|---|---|---|
-| `basicbar-auth` | OIDC-Login (mozilla-django-oidc): Backend mit Claim-Mapping und IdP-Gruppen→Admin, Silent SSO, Back-Channel-Logout, Endpoint-Discovery, `AbstractBasicUser`, optionale Account-Obergrenze und Subject-Drift-Heilung. Betreiber-Hinweise zu Löschfristen/Kennungs-Vakanz im Paket-README. | `auth/v0.1.0` |
-| `basicbar-integrations` | Optionale Dienste, aus per Default: LibreTranslate-Client + Übersetzungs-Endpunkt, LiteLLM-Client (OpenAI-kompatibel), Capabilities-Endpoint fürs Frontend, HTML-Allowlist (nh3). | `integrations/v0.1.0` |
-| `basicbar-lti` | LTI-1.3-Fundament (PyLTI1p3): Plattform-Registrierung + Staff-API, Tool-Keypair, OIDC-Initiation/JWKS, JIT-Nutzer-Provisionierung mit optionaler E-Mail-Unifizierung, iframe-Middleware. Der Launch selbst bleibt Tool-Code (Kurskontext → Fachmodell). | `lti/v0.1.2` |
-| `@basicbar/ui` | Designsystem-Basis: Tailwind-Preset (Font, Dark Mode, Motion — die Farb-Ramps bleiben als Identität im Tool: „ein System, pro Tool ein Akzent“), `base.css` (A11y-Grundausstattung), ThemeProvider, i18n-Bootstrap, `contentLang`, `TranslatableField`/„alle Felder übersetzen“. | `ui/v0.2.1` |
-
-Details und Begründungen: [docs/ADR/](docs/ADR/) · Historie und Vorgehen:
+| Paket | Inhalt |
+|---|---|
+| `basicbar-auth` | OIDC-Login (mozilla-django-oidc): Backend mit Claim-Mapping und IdP-Gruppen→Admin, Silent SSO, Back-Channel-Logout, Endpoint-Discovery, `AbstractBasicUser`, optionale Account-Obergrenze und Subject-Drift-Heilung. Session-Endpunkte (`whoami_payload`, `logout_view`, `set_language`) und URL-Verdrahtung. Betreiber-Hinweise zu Löschfristen/Kennungs-Vakanz im Paket-README. |
+| `basicbar-integrations` | Optionale Dienste, aus per Default: LibreTranslate-Client + Übersetzungs-Endpunkt, LiteLLM-Client (OpenAI-kompatibel), `capabilities_payload()` fürs `whoami`, HTML-Allowlist (nh3), Übersetzungs-Sync-Helfer. |
+| `basicbar-lti` | LTI-1.3-Fundament (PyLTI1p3): Plattform-Registrierung + Staff-API, Tool-Keypair, OIDC-Initiation/JWKS, JIT-Nutzer-Provisionierung mit optionaler E-Mail-Unifizierung, iframe-Middleware. Der Launch selbst bleibt Tool-Code (Kurskontext → Fachmodell). |
+| `@basicbar/ui` | Designsystem-Basis: Tailwind-Preset (Font, Dark Mode, Motion — die Farb-Ramps bleiben als Identität im Tool: „ein System, pro Tool ein Akzent“), `base.css` (A11y-Grundausstattung), ThemeProvider, i18n-Bootstrap, `contentLang`, `TranslatableField`/„alle Felder übersetzen“, Preferences-Menü, `RichText`; `RichTextEditor` (TipTap) als eigener Entry. |
+
+Aktuelle Versionen: die Tags `<paket>/vX.Y.Z` bzw. [CHANGELOG.md](CHANGELOG.md)
+(dort auch die Migrationsschritte je Release). Details und Begründungen:
+[docs/ADR/](docs/ADR/) · Historie und Vorgehen:
 [docs/EXTRAKTIONSPLAN.md](docs/EXTRAKTIONSPLAN.md).
 
 ## Neues Tool erzeugen
diff --git a/docs/EXTRAKTIONSPLAN.md b/docs/EXTRAKTIONSPLAN.md
index fb27d02..310e8b7 100644
--- a/docs/EXTRAKTIONSPLAN.md
+++ b/docs/EXTRAKTIONSPLAN.md
@@ -45,7 +45,7 @@ basicbar/
 │   │   ├── basicbar-auth/         # OIDC-Backend, Discovery, Session-Endpoints,
 │   │   │                          #   AbstractBasicUser (abstrakt!), Permissions-Basis
 │   │   ├── basicbar-integrations/ # translation_service (LibreTranslate),
-│   │   │                          #   ai (LiteLLM), Capabilities-Endpoint
+│   │   │                          #   ai (LiteLLM), capabilities_payload
 │   │   └── basicbar-lti/          # LTI-1.3-App aus abstimmbar (pyLTI1p3-Muster)
 │   └── ui/                        # @basicbar/ui (npm): Design-Tokens (CSS-Variablen),
 │                                  #   Theme + Dark Mode, i18n-Setup, contentLang,
@@ -76,9 +76,13 @@ Upgrades pro Tool.
    `accounts.User(AbstractBasicUser)` mit eigenen Migrationen. Bestehende Tools
    müssen ihr User-Model dafür *nicht* umbauen — sie adoptieren zunächst nur
    Backend/Discovery/Views.
-2. **Capabilities-Endpoint** in `basicbar-integrations`: `GET /api/capabilities`
-   → `{ translation: bool, ai: bool, lti: bool }`. Frontend blendet Features
-   automatisch ein/aus; keine Build-Varianten.
+2. **Feature-Flags im `whoami`**, nicht als eigener Endpunkt: die Tools
+   mischen `basicbar_integrations.capabilities.capabilities_payload()`
+   (`ai_enabled`, `content_default_language`, `content_translation_enabled`)
+   in ihr `/api/whoami/` — ein Request beim Laden, das Frontend blendet
+   Features automatisch ein/aus; keine Build-Varianten. (Der ursprünglich
+   geplante `GET /api/capabilities` wurde von keinem Tool genutzt und ist mit
+   integrations 0.3.0 wieder entfernt.)
 3. **Optionalität per Env**, wie bereits etabliert (`LIBRETRANSLATE_URL`,
    `AI_PROVIDER`/`AI_BASE_URL`/…): aus = Feature unsichtbar. Stdlib-`urllib`-
    Ansatz (keine Zusatzabhängigkeiten) beibehalten.
@@ -190,8 +194,9 @@ Distribution: Repo öffentlich, Installation als GitLab-Archiv-Tarball vom
 Tag (kein git im Image, Dockerfiles unverändert). Umstellungs-MRs:
 ausleihbar !166, abstimmbar !90 — beide Suiten grün, Docker-Builds
 end-to-end verifiziert. Der Sync-Workflow (taggen → pinnen → bumpen) ist
-damit einmal komplett bewiesen. Capabilities-Endpoint ist im Paket, die
-Frontend-Adoption in den Tools folgt bei Gelegenheit (z. B. mit Phase 3).
+damit einmal komplett bewiesen. (Der Capabilities-Endpoint wurde nie
+adoptiert und ist mit integrations 0.3.0 durch `capabilities_payload()`
+ersetzt — siehe Entscheidung 2.)
 
 ### Phase 3 — `@basicbar/ui` (der Design-Sync, Hauptmotivation)
 
diff --git a/packages/django/basicbar-auth/basicbar_auth/__init__.py b/packages/django/basicbar-auth/basicbar_auth/__init__.py
index ab95dfd..d649d39 100644
--- a/packages/django/basicbar-auth/basicbar_auth/__init__.py
+++ b/packages/django/basicbar-auth/basicbar_auth/__init__.py
@@ -1,4 +1,11 @@
 # SPDX-License-Identifier: Apache-2.0
 # Copyright 2026 Universität Osnabrück (virtUOS)
 
-__version__ = "0.2.0"
+from importlib.metadata import PackageNotFoundError, version
+
+# Single source of truth is pyproject.toml; an uninstalled checkout (e.g. the
+# package tests run straight from the tree) reports a dev marker instead.
+try:
+    __version__ = version("basicbar-auth")
+except PackageNotFoundError:  # pragma: no cover
+    __version__ = "0.0.0.dev0"
diff --git a/packages/django/basicbar-auth/pyproject.toml b/packages/django/basicbar-auth/pyproject.toml
index a864419..54edfad 100644
--- a/packages/django/basicbar-auth/pyproject.toml
+++ b/packages/django/basicbar-auth/pyproject.toml
@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "basicbar-auth"
-version = "0.2.0"
+version = "0.2.1"
 description = "OIDC-Fundament der virtUOS -bar-Tools: Backend, Silent Login, Back-Channel-Logout, Discovery, AbstractBasicUser, optionale Account-Limits"
 readme = "README.md"
 requires-python = ">=3.12"
diff --git a/packages/django/basicbar-integrations/README.md b/packages/django/basicbar-integrations/README.md
index 0c75e15..6700e7b 100644
--- a/packages/django/basicbar-integrations/README.md
+++ b/packages/django/basicbar-integrations/README.md
@@ -13,9 +13,12 @@ Provider-SDKs.
   `{translated}`; validiert Sprachen gegen `settings.LANGUAGES`, sanitized
   HTML-Ergebnisse serverseitig. Permission per Subclass anpassbar
   (Default `IsAuthenticated`).
-- `views.CapabilitiesView` — `GET` → `{"translation": bool, "ai": bool, …}`,
-  damit das Frontend Features ohne Build-Varianten ein-/ausblendet;
-  erweiterbar über `extra_capabilities()`.
+- `capabilities.capabilities_payload()` — `{"ai_enabled", "content_default_language",
+  "content_translation_enabled"}` für das `whoami` des Tools (neben
+  `basicbar_auth.views.whoami_payload`), damit das Frontend Features ohne
+  zweiten Request und ohne Build-Varianten ein-/ausblendet.
+- `translation_sync` — Helfer für den Übersetzungs-Sync-Zustand pro Feld
+  (`record_synced`, `stale_map`, `modeltranslation_values`, …).
 - `html_sanitize` — die eine HTML-Allowlist für Rich-Content (nh3-basiert).
 
 ## Einbinden
@@ -24,7 +27,14 @@ Provider-SDKs.
 INSTALLED_APPS = [..., "basicbar_integrations"]
 
 # urls.py
-path("api/", include("basicbar_integrations.urls")),  # translate/ + capabilities/
+path("api/", include("basicbar_integrations.urls")),  # translate/
+
+# accounts/views.py
+from basicbar_auth.views import whoami_payload
+from basicbar_integrations.capabilities import capabilities_payload
+
+def whoami(request):
+    return JsonResponse({**whoami_payload(request), **capabilities_payload()})
 ```
 
 Alle Settings haben Defaults („aus“) — ein Tool ohne Konfiguration startet
diff --git a/packages/django/basicbar-integrations/basicbar_integrations/__init__.py b/packages/django/basicbar-integrations/basicbar_integrations/__init__.py
index 7b5d754..9804a1a 100644
--- a/packages/django/basicbar-integrations/basicbar_integrations/__init__.py
+++ b/packages/django/basicbar-integrations/basicbar_integrations/__init__.py
@@ -1,4 +1,11 @@
 # SPDX-License-Identifier: Apache-2.0
 # Copyright 2026 Universität Osnabrück (virtUOS)
 
-__version__ = "0.2.2"
+from importlib.metadata import PackageNotFoundError, version
+
+# Single source of truth is pyproject.toml; an uninstalled checkout (e.g. the
+# package tests run straight from the tree) reports a dev marker instead.
+try:
+    __version__ = version("basicbar-integrations")
+except PackageNotFoundError:  # pragma: no cover
+    __version__ = "0.0.0.dev0"
diff --git a/packages/django/basicbar-integrations/basicbar_integrations/capabilities.py b/packages/django/basicbar-integrations/basicbar_integrations/capabilities.py
new file mode 100644
index 0000000..1361192
--- /dev/null
+++ b/packages/django/basicbar-integrations/basicbar_integrations/capabilities.py
@@ -0,0 +1,30 @@
+# SPDX-License-Identifier: Apache-2.0
+# Copyright 2026 Universität Osnabrück (virtUOS)
+
+"""The feature flags a tool's SPA needs at load time.
+
+Every -bar tool mixes the same three keys into its ``/api/whoami/`` payload
+(next to ``basicbar_auth.views.whoami_payload``) so the SPA can show or hide
+optional features without a second round-trip or build variants::
+
+    return JsonResponse({**whoami_payload(request), **capabilities_payload()})
+
+This replaces the former ``CapabilitiesView`` (``GET /api/capabilities/``),
+which no tool ever called — one request at startup is enough.
+"""
+from django.conf import settings
+
+from . import ai, translation_service
+
+
+def capabilities_payload() -> dict:
+    return {
+        # AI-assisted features (LiteLLM proxy) may be offered.
+        "ai_enabled": ai.is_enabled(),
+        # Canonical authoring language of this deployment (modeltranslation's
+        # default), and whether machine-translation drafts are available.
+        "content_default_language": getattr(
+            settings, "MODELTRANSLATION_DEFAULT_LANGUAGE", settings.LANGUAGE_CODE
+        ),
+        "content_translation_enabled": translation_service.is_enabled(),
+    }
diff --git a/packages/django/basicbar-integrations/basicbar_integrations/tests/test_views.py b/packages/django/basicbar-integrations/basicbar_integrations/tests/test_views.py
index 09f5dcd..cebf277 100644
--- a/packages/django/basicbar-integrations/basicbar_integrations/tests/test_views.py
+++ b/packages/django/basicbar-integrations/basicbar_integrations/tests/test_views.py
@@ -82,23 +82,43 @@ def test_html_result_is_sanitized(self):
         self.assertEqual(response.json(), {"translated": "<p>Hi</p>"})
 
 
-class CapabilitiesEndpointTests(TestCase):
-    """GET /api/capabilities/ — feature discovery for the frontend."""
+class CapabilitiesPayloadTests(TestCase):
+    """``capabilities_payload()`` — the flags every tool mixes into whoami."""
 
     def test_everything_off_by_default(self):
-        response = self.client.get("/api/capabilities/")
-        self.assertEqual(response.status_code, 200)
-        self.assertEqual(response.json(), {"translation": False, "ai": False})
+        from basicbar_integrations.capabilities import capabilities_payload
+
+        with override_settings(MODELTRANSLATION_DEFAULT_LANGUAGE="de"):
+            payload = capabilities_payload()
+        self.assertEqual(
+            payload,
+            {
+                "ai_enabled": False,
+                "content_default_language": "de",
+                "content_translation_enabled": False,
+            },
+        )
 
     @override_settings(**LT_ON)
     def test_reports_enabled_translation(self):
-        response = self.client.get("/api/capabilities/")
-        self.assertEqual(response.json(), {"translation": True, "ai": False})
+        from basicbar_integrations.capabilities import capabilities_payload
+
+        self.assertTrue(capabilities_payload()["content_translation_enabled"])
 
     @override_settings(
         AI_PROVIDER="litellm", AI_BASE_URL="https://x/v1",
         AI_API_KEY="k", AI_MODEL="qwen-3.5",
     )
     def test_reports_enabled_ai(self):
-        response = self.client.get("/api/capabilities/")
-        self.assertEqual(response.json(), {"translation": False, "ai": True})
+        from basicbar_integrations.capabilities import capabilities_payload
+
+        self.assertTrue(capabilities_payload()["ai_enabled"])
+
+    def test_default_language_falls_back_to_language_code(self):
+        from basicbar_integrations.capabilities import capabilities_payload
+
+        with override_settings(LANGUAGE_CODE="en"):
+            self.assertEqual(capabilities_payload()["content_default_language"], "en")
+
+    def test_capabilities_endpoint_is_gone(self):
+        self.assertEqual(self.client.get("/api/capabilities/").status_code, 404)
diff --git a/packages/django/basicbar-integrations/basicbar_integrations/urls.py b/packages/django/basicbar-integrations/basicbar_integrations/urls.py
index c2ebd86..866a727 100644
--- a/packages/django/basicbar-integrations/basicbar_integrations/urls.py
+++ b/packages/django/basicbar-integrations/basicbar_integrations/urls.py
@@ -3,9 +3,8 @@
 
 from django.urls import path
 
-from .views import CapabilitiesView, TranslateView
+from .views import TranslateView
 
 urlpatterns = [
     path("translate/", TranslateView.as_view(), name="basicbar-translate"),
-    path("capabilities/", CapabilitiesView.as_view(), name="basicbar-capabilities"),
 ]
diff --git a/packages/django/basicbar-integrations/basicbar_integrations/views.py b/packages/django/basicbar-integrations/basicbar_integrations/views.py
index 8691c68..58228e0 100644
--- a/packages/django/basicbar-integrations/basicbar_integrations/views.py
+++ b/packages/django/basicbar-integrations/basicbar_integrations/views.py
@@ -9,11 +9,11 @@
 """
 
 from django.conf import settings
-from rest_framework.permissions import AllowAny, IsAuthenticated
+from rest_framework.permissions import IsAuthenticated
 from rest_framework.response import Response
 from rest_framework.views import APIView
 
-from . import ai, html_sanitize, translation_service
+from . import html_sanitize, translation_service
 
 
 class TranslateView(APIView):
@@ -51,24 +51,3 @@ def post(self, request):
         if fmt == "html":
             translated = self.clean_html(translated)
         return Response({"translated": translated})
-
-
-class CapabilitiesView(APIView):
-    """Which optional integrations this deployment offers.
-
-    Lets the frontend show or hide features without build variants. Tools can
-    extend the payload (e.g. ``{"lti": True}``) via ``extra_capabilities``.
-    """
-
-    permission_classes = [AllowAny]
-
-    def extra_capabilities(self, request) -> dict:
-        return {}
-
-    def get(self, request):
-        capabilities = {
-            "translation": translation_service.is_enabled(),
-            "ai": ai.is_enabled(),
-        }
-        capabilities.update(self.extra_capabilities(request))
-        return Response(capabilities)
diff --git a/packages/django/basicbar-integrations/pyproject.toml b/packages/django/basicbar-integrations/pyproject.toml
index ad60fbc..001b9f3 100644
--- a/packages/django/basicbar-integrations/pyproject.toml
+++ b/packages/django/basicbar-integrations/pyproject.toml
@@ -4,8 +4,8 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "basicbar-integrations"
-version = "0.2.2"
-description = "Optionale Integrationen der virtUOS -bar-Tools: LibreTranslate, LiteLLM, Capabilities-Endpoint"
+version = "0.3.0"
+description = "Optionale Integrationen der virtUOS -bar-Tools: LibreTranslate, LiteLLM, HTML-Allowlist, Übersetzungs-Sync"
 readme = "README.md"
 requires-python = ">=3.12"
 license = { text = "Apache-2.0" }
diff --git a/packages/django/basicbar-lti/basicbar_lti/__init__.py b/packages/django/basicbar-lti/basicbar_lti/__init__.py
index df8a046..0d04c1a 100644
--- a/packages/django/basicbar-lti/basicbar_lti/__init__.py
+++ b/packages/django/basicbar-lti/basicbar_lti/__init__.py
@@ -1,4 +1,11 @@
 # SPDX-License-Identifier: Apache-2.0
 # Copyright 2026 Universität Osnabrück (virtUOS)
 
-__version__ = "0.1.4"
+from importlib.metadata import PackageNotFoundError, version
+
+# Single source of truth is pyproject.toml; an uninstalled checkout (e.g. the
+# package tests run straight from the tree) reports a dev marker instead.
+try:
+    __version__ = version("basicbar-lti")
+except PackageNotFoundError:  # pragma: no cover
+    __version__ = "0.0.0.dev0"
diff --git a/packages/django/basicbar-lti/pyproject.toml b/packages/django/basicbar-lti/pyproject.toml
index 7251a22..6135e33 100644
--- a/packages/django/basicbar-lti/pyproject.toml
+++ b/packages/django/basicbar-lti/pyproject.toml
@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "basicbar-lti"
-version = "0.1.4"
+version = "0.1.5"
 description = "LTI-1.3-Fundament der virtUOS -bar-Tools: Plattform-Registrierung, Tool-Key, OIDC-Initiation, JWKS, Nutzer-Provisionierung, Frame-Ancestors-Middleware"
 readme = "README.md"
 requires-python = ">=3.12"