import { requireWehrAdmin } from "@/lib/auth/guards";
import { VerwaltungNav } from "@/components/verwaltung/VerwaltungNav";

/**
 * Route-Group-Layout des Wehr-Bereichs.
 *
 * GUARD-SLOT (Default-deny, dreifach — Querschnittsstandard 1+2): Der
 * serverseitige Guard `requireWehrAdmin()` ist die ALLERERSTE Anweisung. Er
 * leitet anonyme Aufrufe auf /login (redirect) um und verweigert allen außer
 * `wehr_admin` (auch `wehr_read`) mit forbidden() -> 403. Jede Server Action
 * wiederholt den Guard zusätzlich (Verteidigung in der Tiefe).
 */
export default async function VerwaltungLayout({
  children,
}: {
  children: React.ReactNode;
}) {
  await requireWehrAdmin();
  return (
    <div>
      <VerwaltungNav />
      <main className="mx-auto max-w-5xl px-6 py-8">{children}</main>
    </div>
  );
}
