Publikt kundgodkännande i delningslänken

Kunden kan nu godkänna eller avböja åtgärdsförslaget direkt i sin
Live Share-länk — API:ts enda skrivande publika väg, med sex spärrar
som var och en verifieras i integrationstestet:

1. endast delningar på kundnivå (partner-/internlänkar får aldrig svara
   åt kunden) och aldrig återkallade
2. ärendets ursprungliga delningskod saknar registrerad nivå och kan
   inte heller svara
3. det måste finnas ett åtgärdsförslag att svara på
4. ett besked per ärende — svaret kan inte ändras i efterhand
5. endast godkant/avbojt/delvis plus kommentar på högst 500 tecken;
   inget annat kan skrivas till loggen den vägen
6. takt-begränsning per delningskod (429)

Beskedet loggas som kundbeslut med kanal "Delningslänk" och avsändaren
"Kund via delningslänk"; verkstadens egna registreringar (telefon, på
plats …) fungerar precis som förut, och kvalitetsgrindens krav gäller
oförändrat. Beslutspanelen visas bara på den publika kundlänken —
interna och partnervyer förblir helt skrivskyddade.

73 vitest-tester, integrationstest (åtta nya kontroller för spärrarna)
och OpenAPI-validering gröna. Därmed är även den sista dokumenterade
avgränsningen utöver externa fordonsdatabaser avklarad.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt

src/pages/felsokning/PublikDelning.tsx

@@ -99,12 +99,40 @@ export default function PublikDelning() {
     );
   }
 
+  // Kunden kan svara på ett åtgärdsförslag direkt i sin länk. Endast
+  // kundnivån får svara — servern gör samma kontroll igen.
+  const skickaBeslut =
+    niva === "kund" && kod
+      ? async (beslut: "godkant" | "avbojt", kommentar: string) => {
+          const { plattformAktiv, PLATTFORM_URL } = await import("@/felsokning/plattform");
+          if (!plattformAktiv()) return "Beskedet kan inte lämnas här — kontakta verkstaden.";
+          try {
+            const res = await fetch(`${PLATTFORM_URL}/api/delad/${kod}/beslut`, {
+              method: "POST",
+              headers: { "Content-Type": "application/json" },
+              body: JSON.stringify({ beslut, kommentar }),
+            });
+            if (!res.ok) {
+              const data = (await res.json().catch(() => ({}))) as { error?: string };
+              return data.error ?? "Beskedet kunde inte registreras — försök igen.";
+            }
+            // Hämta om direkt så kvittensen syns.
+            const uppdaterat = await hamtaDelat(kod);
+            if (uppdaterat) setArende(uppdaterat.arende);
+            return null;
+          } catch {
+            return "Beskedet kunde inte skickas — kontrollera anslutningen.";
+          }
+        }
+      : undefined;
+
   return (
     <DelatArendeVy
       arende={arende}
       nu={nu}
       notis={NIVA_NOTIS[niva] ?? NIVA_NOTIS.kund}
       redanFiltrerad
+      vidBeslut={skickaBeslut}
     />
   );
 }