IMP-02: anhangsverarbeitung-bei-import

Anhänge aus importierten Nachrichten extrahieren, validieren und für
Weiterverarbeitung bereitstellen.

- mimeparse/tolerant.go: additive Erweiterung von ING-04 (Parse/
  parseMultipart unverändert) — ParseTolerant bricht bei einem einzelnen
  fehlerhaften Teil nicht die gesamte Nachricht ab, verzeichnet ihn
  stattdessen in []PartError. Setzt zusätzlich ein Gesamtgrößenbudget
  über alle Teile durch (ErrMessageTooLarge), ergänzend zum bereits
  vorhandenen Je-Anhang-Limit.
- attachments/attachments.go: Extract liefert Filename/Size/
  DeclaredContentType/VerifiedContentType je Anhang.
  VerifiedContentType kommt aus http.DetectContentType (echtes Sniffing
  der Bytes), nicht aus der ungeprüften Absenderbehauptung.

Prüfungen (alle real durchgeführt, siehe mail/docs/IMP-02-PRUEFPROTOKOLL.md):
1. TestExtract_OversizedAttachmentIsCorrectlyLimited: überdimensionierter
   Anhang real übersprungen, Text bleibt real unangetastet.
2. TestExtract_MultipleAttachmentDifferentTypesAllImported: PDF+PNG
   real beide extrahiert, PNG-Sniffing liefert real image/png.
3. TestExtract_BrokenAttachmentLeavesTextAndOthersUntouched: defektes
   Base64 in einem Anhang, Text und zweiter Anhang real unangetastet.

Kein Umbau: mimeparse Parse/parseMultipart (ING-04) unverändert.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HhgFcLS8tYMhDJpP74C6AQ

mail/docs/IMP-02-PRUEFPROTOKOLL.md

@@ -0,0 +1,48 @@
+# IMP-02 – Prüfprotokoll: Anhangsverarbeitung bei Import
+
+Voraussetzung ING-04, IMP-01 (beide Fertig).
+
+## Umsetzung
+
+- `mail/internal/mimeparse/tolerant.go` — additive Erweiterung von ING-04
+  (Parse/parseMultipart bleiben UNVERÄNDERT): `ParseTolerant` bricht bei
+  einem einzelnen fehlerhaften Teil NICHT die gesamte Nachricht ab
+  (Akzeptanzkriterium 3), sondern verzeichnet ihn in `[]PartError` und
+  verarbeitet die übrigen Teile weiter. Setzt zusätzlich ein
+  Gesamtgrößenbudget über alle Teile durch (`ErrMessageTooLarge`,
+  Akzeptanzkriterium 2 — ergänzt das bereits vorhandene
+  Je-Anhang-Limit aus ING-04 um ein Je-Nachricht-Limit).
+- `mail/internal/attachments/attachments.go` — `Extract`: liefert
+  `Attachment{Filename, Size, DeclaredContentType, VerifiedContentType}`
+  je Anhang (Akzeptanzkriterium 1) — `VerifiedContentType` kommt aus
+  `net/http.DetectContentType` (echtes Sniffing der Bytes), nicht aus der
+  ungeprüft übernommenen Absenderbehauptung. `Options{MaxAttachmentSize,
+  MaxMessageSize}` mit sinnvollen Vorgabewerten (25 MiB je Anhang,
+  100 MiB je Nachricht).
+- Kein Umbau: `mail/internal/mimeparse` Parse/parseMultipart (ING-04)
+  unverändert — bestehende Tests laufen unangetastet weiter.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Test mit Nachricht, die einen überdimensionierten Anhang enthält, wird korrekt begrenzt | **bestanden** – `TestExtract_OversizedAttachmentIsCorrectlyLimited`: Anhang über dem Limit wird real übersprungen (nicht extrahiert), Nachrichtentext bleibt real unangetastet |
+| 2 | Test mit mehreren Anhängen unterschiedlichen Typs importiert alle korrekt | **bestanden** – `TestExtract_MultipleAttachmentDifferentTypesAllImported`: PDF + PNG in einer Nachricht, beide real extrahiert, PNG-Anhang liefert real den korrekten gesniffeten Content-Type `image/png` (echte Magic-Bytes) |
+| 3 | Test: ein defekter Anhang lässt Text und übrige Anhänge unangetastet | **bestanden** – `TestExtract_BrokenAttachmentLeavesTextAndOthersUntouched`: ungültiges Base64 in einem Anhang, Nachrichtentext UND der zweite, gültige Anhang kommen real unverändert an |
+
+## Build/Test-Ergebnis (192.168.1.131)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./internal/attachments/... -v  -> 3/3 bestanden
+TEST_TENANT_DSN=... TEST_MANTICORE_URL=... go test ./... -p 1
+  -> alle 16 Pakete bestanden, keine Regression (mimeparse: 6/6 weiterhin grün
+  nach additiver ParseTolerant-Erweiterung)
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
+real erfüllt. Entsperrt IMP-06, trägt (gemeinsam mit IMP-03) zu IMP-09 bei.

mail/docs/IMP-04-PRUEFPROTOKOLL.md

@@ -0,0 +1,58 @@
+# IMP-04 – Prüfprotokoll: Fehlerbehandlung nicht-konformer Server
+
+Voraussetzung IMP-01 (Fertig).
+
+## Umsetzung
+
+- `mail/internal/imapimport/client_real.go` erweitert:
+  - `resolveUIDValidity`: eine gemeldete `UIDVALIDITY=0` (bekannte
+    Abweichung nicht-konformer Server, known-issues-archivmail.md #5)
+    oder eine ganz fehlende UIDVALIDITY-Angabe löst KEINEN Abbruch mehr
+    aus, sondern einen definierten Fallback (Akzeptanzkriterium 1):
+    `fallbackUIDValidity` leitet deterministisch (FNV-1a, gleiche Technik
+    wie `search.DocumentID`) einen von 0 verschiedenen Ersatzwert aus dem
+    Postfachnamen ab — bei wiederholten Läufen gegen denselben
+    nicht-konformen Server bleibt der Fallback STABIL, kein unnötiger
+    Voll-Resync bei jedem einzelnen Lauf.
+  - `parseFetchLines`/`parseSingleFetchLine`: eine einzelne unerwartete
+    oder kaputte `FETCH`-Zeile wird protokolliert und übersprungen, alle
+    übrigen, korrekt lesbaren Nachrichten werden trotzdem geliefert
+    (Akzeptanzkriterium 2) — der gesamte Lauf bricht dafür nicht ab.
+  - `Logger`/`RealClient.WithLogger`: jede erkannte Abweichung läuft über
+    ein protokollierbares, austauschbares Logging-Ziel mit festem,
+    durchsuchbarem Präfix (Akzeptanzkriterium 3: für Support
+    nachvollziehbar) — Standard ist `log.Printf`.
+- Dabei einen echten, durch die neue Logging-Logik selbst eingeführten
+  Bug gefunden und behoben: die getaggte Kommando-Abschlusszeile (z. B.
+  `"C3 OK UID FETCH completed"`) enthält ebenfalls die Zeichenfolge
+  `"FETCH "` und wurde beim ersten Anlauf fälschlich als "unerwartete
+  Serverantwort" geloggt — behoben, indem nur echte Untagged-Zeilen
+  (Präfix `"* "`) überhaupt als FETCH-Zeile in Betracht gezogen werden.
+- Kein Umbau: `mail/internal/imap` (ING-01)/`folderstate` (ING-05)/
+  `imapimport/scheduler.go` (IMP-01) unverändert — IMP-04 erweitert
+  ausschließlich `client_real.go`.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Test simuliert Server mit UIDVALIDITY=0 und bestätigt greifenden Fallback | **bestanden** – `TestResolveUIDValidity_ZeroTriggersDefinedFallbackNotAbort`: hand-gesteuerter Fake-Server meldet real `UIDVALIDITY=0`, `Sync` schlägt real NICHT fehl, liefert real einen von 0 verschiedenen, deterministischen Fallback-Wert und alle 3 Nachrichten, Fallback-Hinweis real protokolliert |
+| 2 | Test mit unerwarteter/kaputter Serverantwort bestätigt Weiterlauf für übrige Nachrichten | **bestanden** – `TestParseFetchLines_UnexpectedResponseSkippedRestContinue`: 2 bewusst kaputte Zeilen zwischen 2 korrekten real gesendet — `Sync` liefert real trotzdem beide korrekt lesbaren Nachrichten, beide kaputten Zeilen real protokolliert und übersprungen, kein Abbruch |
+| 3 | Regressionstest verhindert Wiederauftreten des UIDVALIDITY-Bugs | **bestanden** – `TestResolveUIDValidity_RegressionGuardAgainstZeroAbort`: direkter, vom Netzwerkpfad unabhängiger Test von `resolveUIDValidity` mit `UIDVALIDITY=0` UND mit gänzlich fehlender Angabe — beide liefern real keinen Fehler und einen Fallback-Wert != 0 |
+
+## Build/Test-Ergebnis (192.168.1.131)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+TEST_TENANT_DSN=... go test ./internal/imapimport/... -v -timeout 60s  -> 7/7 bestanden
+TEST_TENANT_DSN=... TEST_MANTICORE_URL=... go test ./... -p 1
+  -> alle 15 Pakete bestanden, keine Regression
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
+real erfüllt. Entsperrt IMP-08 (gemeinsam mit QA-02, bleibt weiterhin
+blockiert bis dessen übrige Abhängigkeiten fertig sind).

mail/internal/attachments/attachments.go

@@ -0,0 +1,109 @@
+// Package attachments implementiert IMP-02: Anhänge aus importierten
+// Nachrichten extrahieren, validieren und für die Weiterverarbeitung
+// (Speicherung, Virenscan — beides spätere Kacheln, siehe "Nicht
+// Bestandteil dieser Kachel") bereitstellen. Baut auf ING-04
+// (mail/internal/mimeparse) auf, unverändert wiederverwendet über die
+// additive Erweiterung mimeparse.ParseTolerant — kein Umbau der
+// bestehenden, fertigen ING-04-Logik.
+package attachments
+
+import (
+	"io"
+	"net/http"
+
+	"gitea.perlbach24.de/scripte/nexarch/mail/internal/mimeparse"
+)
+
+// Attachment ist EIN extrahierter, validierter Anhang
+// (Akzeptanzkriterium 1: Originaldateiname, Größe, geprüfter
+// Content-Type).
+type Attachment struct {
+	Filename string
+	Size     int64
+	Content  []byte
+	// DeclaredContentType kommt unverändert aus dem MIME-Header des
+	// Absenders — NICHT vertrauenswürdig, ein Absender kann hier
+	// beliebiges behaupten.
+	DeclaredContentType string
+	// VerifiedContentType wird aus den tatsächlichen Bytes gesniffed
+	// (net/http.DetectContentType, RFC-basierte Inhaltserkennung) —
+	// Akzeptanzkriterium 1: "geprüfter Content-Type", unabhängig von der
+	// Absenderbehauptung.
+	VerifiedContentType string
+}
+
+// SkippedPart beschreibt einen Anhang/Teil, der NICHT extrahiert werden
+// konnte — der Rest der Nachricht (Text und übrige Anhänge) bleibt davon
+// unangetastet (Akzeptanzkriterium 3).
+type SkippedPart struct {
+	Filename string
+	Reason   error
+}
+
+// Result ist das Ergebnis einer Anhangsextraktion.
+type Result struct {
+	Attachments []Attachment
+	// TextParts sind die Nicht-Anhang-Teile (Nachrichtentext) —
+	// unverändert aus mimeparse übernommen, diese Kachel fasst sie nicht
+	// an.
+	TextParts []mimeparse.Part
+	Skipped   []SkippedPart
+}
+
+// DefaultMaxAttachmentSize/DefaultMaxMessageSize sind Vorgabewerte,
+// überschreibbar über Options — großzügig für typische Geschäftspost
+// (kleinste Lösung, keine Konfigurationsoberfläche in dieser Kachel).
+const (
+	DefaultMaxAttachmentSize = 25 * 1024 * 1024  // 25 MiB je Anhang
+	DefaultMaxMessageSize    = 100 * 1024 * 1024 // 100 MiB je Nachricht gesamt
+)
+
+// Options steuert die Größenlimits (Akzeptanzkriterium 2).
+type Options struct {
+	MaxAttachmentSize int64
+	MaxMessageSize    int64
+}
+
+func (o Options) withDefaults() Options {
+	if o.MaxAttachmentSize <= 0 {
+		o.MaxAttachmentSize = DefaultMaxAttachmentSize
+	}
+	if o.MaxMessageSize <= 0 {
+		o.MaxMessageSize = DefaultMaxMessageSize
+	}
+	return o
+}
+
+// Extract zerlegt eine E-Mail (RFC 5322 + MIME) in Anhänge und
+// Textteile. Ein einzelner fehlerhafter oder überdimensionierter Anhang
+// blockiert NICHT die Verarbeitung der übrigen Teile
+// (Akzeptanzkriterium 3) — nur eine strukturell unlesbare Nachricht
+// (kaputte Kopfzeilen) liefert einen echten Fehler.
+func Extract(r io.Reader, opts Options) (Result, error) {
+	opts = opts.withDefaults()
+
+	msg, partErrors, err := mimeparse.ParseTolerant(r, opts.MaxAttachmentSize, opts.MaxMessageSize)
+	if err != nil {
+		return Result{}, err
+	}
+
+	var result Result
+	for _, pe := range partErrors {
+		result.Skipped = append(result.Skipped, SkippedPart{Filename: pe.Filename, Reason: pe.Err})
+	}
+
+	for _, part := range msg.Parts {
+		if !part.IsAttachment {
+			result.TextParts = append(result.TextParts, part)
+			continue
+		}
+		result.Attachments = append(result.Attachments, Attachment{
+			Filename:            part.Filename,
+			Size:                part.Size,
+			Content:             part.Content,
+			DeclaredContentType: part.ContentType,
+			VerifiedContentType: http.DetectContentType(part.Content),
+		})
+	}
+	return result, nil
+}

mail/internal/attachments/attachments_test.go

@@ -0,0 +1,139 @@
+package attachments
+
+import (
+	"encoding/base64"
+	"strings"
+	"testing"
+)
+
+// TestExtract_OversizedAttachmentIsCorrectlyLimited ist die geforderte
+// Pflichtprüfung 1: Nachricht mit überdimensioniertem Anhang wird
+// korrekt begrenzt.
+func TestExtract_OversizedAttachmentIsCorrectlyLimited(t *testing.T) {
+	oversized := strings.Repeat("A", 200)
+	raw := "From: a@example.com\r\n" +
+		"To: b@example.com\r\n" +
+		"Subject: Test\r\n" +
+		"MIME-Version: 1.0\r\n" +
+		"Content-Type: multipart/mixed; boundary=\"b\"\r\n\r\n" +
+		"--b\r\n" +
+		"Content-Type: text/plain; charset=utf-8\r\n\r\n" +
+		"Kurzer Nachrichtentext\r\n" +
+		"--b\r\n" +
+		"Content-Type: application/octet-stream\r\n" +
+		"Content-Disposition: attachment; filename=\"riesig.bin\"\r\n\r\n" +
+		oversized + "\r\n" +
+		"--b--\r\n"
+
+	result, err := Extract(strings.NewReader(raw), Options{MaxAttachmentSize: 50, MaxMessageSize: DefaultMaxMessageSize})
+	if err != nil {
+		t.Fatalf("extract: %v", err)
+	}
+	if len(result.Attachments) != 0 {
+		t.Fatalf("erwartete 0 extrahierte anhänge (überdimensioniert), habe %d", len(result.Attachments))
+	}
+	if len(result.Skipped) != 1 || result.Skipped[0].Filename != "riesig.bin" {
+		t.Fatalf("erwartete genau 1 übersprungenen anhang 'riesig.bin', habe: %+v", result.Skipped)
+	}
+	if len(result.TextParts) != 1 || string(result.TextParts[0].Content) != "Kurzer Nachrichtentext" {
+		t.Fatalf("erwartete unangetasteten text trotz überdimensioniertem anhang, habe: %+v", result.TextParts)
+	}
+}
+
+// TestExtract_MultipleAttachmentDifferentTypesAllImported ist die
+// geforderte Pflichtprüfung 2: mehrere Anhänge unterschiedlichen Typs
+// werden alle korrekt importiert.
+func TestExtract_MultipleAttachmentDifferentTypesAllImported(t *testing.T) {
+	pdfContent := base64.StdEncoding.EncodeToString([]byte("%PDF-1.4 fake pdf bytes"))
+	pngContent := base64.StdEncoding.EncodeToString([]byte{0x89, 'P', 'N', 'G', 0x0D, 0x0A, 0x1A, 0x0A, 0, 0, 0})
+
+	raw := "From: a@example.com\r\n" +
+		"To: b@example.com\r\n" +
+		"Subject: Test\r\n" +
+		"MIME-Version: 1.0\r\n" +
+		"Content-Type: multipart/mixed; boundary=\"b\"\r\n\r\n" +
+		"--b\r\n" +
+		"Content-Type: text/plain; charset=utf-8\r\n\r\n" +
+		"Anbei zwei Anhänge\r\n" +
+		"--b\r\n" +
+		"Content-Type: application/pdf\r\n" +
+		"Content-Disposition: attachment; filename=\"rechnung.pdf\"\r\n" +
+		"Content-Transfer-Encoding: base64\r\n\r\n" +
+		pdfContent + "\r\n" +
+		"--b\r\n" +
+		"Content-Type: image/png\r\n" +
+		"Content-Disposition: attachment; filename=\"logo.png\"\r\n" +
+		"Content-Transfer-Encoding: base64\r\n\r\n" +
+		pngContent + "\r\n" +
+		"--b--\r\n"
+
+	result, err := Extract(strings.NewReader(raw), Options{})
+	if err != nil {
+		t.Fatalf("extract: %v", err)
+	}
+	if len(result.Attachments) != 2 {
+		t.Fatalf("erwartete 2 extrahierte anhänge, habe %d: %+v", len(result.Attachments), result.Attachments)
+	}
+	byName := map[string]Attachment{}
+	for _, a := range result.Attachments {
+		byName[a.Filename] = a
+	}
+	pdf, ok := byName["rechnung.pdf"]
+	if !ok || pdf.DeclaredContentType != "application/pdf" {
+		t.Fatalf("pdf-anhang fehlt oder falscher deklarierter typ: %+v", byName)
+	}
+	if !strings.Contains(pdf.VerifiedContentType, "text/plain") && !strings.Contains(pdf.VerifiedContentType, "application/") {
+		// http.DetectContentType erkennt unser Fake-PDF (kein echter PDF-
+		// Header) plausibel als Text — hier zählt nur, dass überhaupt ein
+		// echter, aus dem Inhalt gesniffter Wert vorliegt (Akzeptanz-
+		// kriterium 1: geprüfter statt blind übernommener Content-Type).
+		t.Fatalf("erwartete real gesniffeden content-type, habe: %q", pdf.VerifiedContentType)
+	}
+	png, ok := byName["logo.png"]
+	if !ok || png.DeclaredContentType != "image/png" {
+		t.Fatalf("png-anhang fehlt oder falscher deklarierter typ: %+v", byName)
+	}
+	if png.VerifiedContentType != "image/png" {
+		t.Fatalf("erwartete real gesniffeten content-type image/png (echte PNG-Magic-Bytes), habe: %q", png.VerifiedContentType)
+	}
+}
+
+// TestExtract_BrokenAttachmentLeavesTextAndOthersUntouched ist die
+// geforderte Pflichtprüfung 3: ein defekter Anhang lässt Text und übrige
+// Anhänge unangetastet.
+func TestExtract_BrokenAttachmentLeavesTextAndOthersUntouched(t *testing.T) {
+	goodContent := base64.StdEncoding.EncodeToString([]byte("echter anhangsinhalt"))
+	raw := "From: a@example.com\r\n" +
+		"To: b@example.com\r\n" +
+		"Subject: Test\r\n" +
+		"MIME-Version: 1.0\r\n" +
+		"Content-Type: multipart/mixed; boundary=\"b\"\r\n\r\n" +
+		"--b\r\n" +
+		"Content-Type: text/plain; charset=utf-8\r\n\r\n" +
+		"Wichtiger Nachrichtentext\r\n" +
+		"--b\r\n" +
+		"Content-Type: application/octet-stream\r\n" +
+		"Content-Disposition: attachment; filename=\"kaputt.bin\"\r\n" +
+		"Content-Transfer-Encoding: base64\r\n\r\n" +
+		"DAS_IST_KEIN_GUELTIGES_BASE64!!!\r\n" +
+		"--b\r\n" +
+		"Content-Type: application/octet-stream\r\n" +
+		"Content-Disposition: attachment; filename=\"gut.bin\"\r\n" +
+		"Content-Transfer-Encoding: base64\r\n\r\n" +
+		goodContent + "\r\n" +
+		"--b--\r\n"
+
+	result, err := Extract(strings.NewReader(raw), Options{})
+	if err != nil {
+		t.Fatalf("extract: %v", err)
+	}
+	if len(result.TextParts) != 1 || string(result.TextParts[0].Content) != "Wichtiger Nachrichtentext" {
+		t.Fatalf("erwartete unangetasteten text trotz defektem anhang, habe: %+v", result.TextParts)
+	}
+	if len(result.Attachments) != 1 || result.Attachments[0].Filename != "gut.bin" {
+		t.Fatalf("erwartete den guten anhang unangetastet, habe: %+v", result.Attachments)
+	}
+	if string(result.Attachments[0].Content) != "echter anhangsinhalt" {
+		t.Fatalf("guter anhang hat unerwarteten inhalt: %q", result.Attachments[0].Content)
+	}
+}

mail/internal/imapimport/client_real.go

@@ -1,17 +1,43 @@
+// IMP-04: defensive Fehlerbehandlung nicht-konformer Server. Bekannten
+// Fehler vermeiden (siehe known-issues-archivmail.md #5): UIDVALIDITY=0
+// führte in einer früheren Implementierung zu einem Resync-Abbruch —
+// dieses Paket behandelt eine gemeldete UIDVALIDITY=0 als bekannte
+// Serverabweichung mit definiertem Fallback (deterministisch aus dem
+// Postfachnamen abgeleitet, siehe fallbackUIDValidity), NICHT als
+// Fehlerabbruch. Unerwartete/kaputte Serverantworten (einzelne
+// FETCH-Zeilen) werden übersprungen und protokolliert, statt den
+// gesamten Abgleich zu stoppen (siehe parseFetchLines).
+//
+// Fallback-Verhalten für Support (Akzeptanzkriterium 3): jede erkannte
+// Abweichung läuft über Logger — Standard-Logging-Ziel ist der
+// Prozess-Log (log.Printf), bei Bedarf per WithLogger umleitbar/
+// abschaltbar. Log-Präfix ist immer "imapimport: unerwartete
+// server-antwort" bzw. "imapimport: UIDVALIDITY=0 gemeldet" für
+// durchsuchbare Nachvollziehbarkeit.
 package imapimport
 
 import (
 	"bufio"
 	"context"
 	"fmt"
+	"hash/fnv"
+	"log"
 	"net"
 	"strconv"
 	"strings"
 )
 
+// Logger protokolliert erkannte Serverabweichungen (Akzeptanzkriterium
+// 3: nachvollziehbar für Support). Signatur kompatibel mit log.Printf.
+type Logger func(format string, args ...any)
+
+func defaultLogger(format string, args ...any) {
+	log.Printf(format, args...)
+}
+
 // RealClient spricht echtes IMAP4rev1 (RFC 3501) über TCP — genutzt für
-// den realistischen Testpostfach-Nachweis (Pflichtprüfung 3) gegen den
-// echten ING-01-Server, und produktiv gegen jeden RFC-3501-konformen
+// den realistischen Testpostfach-Nachweis (IMP-01 Pflichtprüfung 3) gegen
+// den echten ING-01-Server, und produktiv gegen jeden RFC-3501-konformen
 // IMAP-Server. Bewusst minimal: nur der für RunOnce nötige Ablauf
 // (LOGIN, SELECT, UID FETCH ALL, LOGOUT), keine generische
 // IMAP-Client-Bibliothek.
@@ -20,10 +46,24 @@ type RealClient struct {
 	username string
 	password string
 	dialer   net.Dialer
+	logger   Logger
 }
 
 func NewRealClient(addr, username, password string) *RealClient {
-	return &RealClient{addr: addr, username: username, password: password}
+	return &RealClient{addr: addr, username: username, password: password, logger: defaultLogger}
+}
+
+// WithLogger ersetzt das Standard-Logging-Ziel (z. B. für Tests, die die
+// protokollierten Meldungen prüfen wollen, oder um es abzuschalten).
+func (c *RealClient) WithLogger(logger Logger) *RealClient {
+	c.logger = logger
+	return c
+}
+
+func (c *RealClient) log(format string, args ...any) {
+	if c.logger != nil {
+		c.logger(format, args...)
+	}
 }
 
 func (c *RealClient) Sync(ctx context.Context, mailbox string) (uint64, []RemoteMessage, error) {
@@ -51,7 +91,7 @@ func (c *RealClient) Sync(ctx context.Context, mailbox string) (uint64, []Remote
 	if err != nil {
 		return 0, nil, fmt.Errorf("imapimport: select: %w", err)
 	}
-	uidvalidity, err := extractUIDValidity(selectLines)
+	uidvalidity, err := c.resolveUIDValidity(selectLines, mailbox)
 	if err != nil {
 		return 0, nil, err
 	}
@@ -60,7 +100,7 @@ func (c *RealClient) Sync(ctx context.Context, mailbox string) (uint64, []Remote
 	if err != nil {
 		return 0, nil, fmt.Errorf("imapimport: uid fetch: %w", err)
 	}
-	messages := parseFetchLines(fetchLines)
+	messages := c.parseFetchLines(fetchLines)
 
 	_, _ = sendCommand(conn, reader, 4, "LOGOUT")
 
@@ -99,7 +139,45 @@ func sendCommand(conn net.Conn, reader *bufio.Reader, tagN int, command string)
 	}
 }
 
-func extractUIDValidity(lines []string) (uint64, error) {
+// resolveUIDValidity liest UIDVALIDITY aus der SELECT-Antwort
+// (Akzeptanzkriterium 1). Eine gemeldete UIDVALIDITY=0 — bekannte
+// Abweichung nicht-konformer Server (known-issues-archivmail.md #5) —
+// löst einen definierten Fallback aus statt eines Abbruchs: ein
+// deterministisch aus dem Postfachnamen abgeleiteter Ersatzwert, der bei
+// wiederholten Läufen gegen denselben nicht-konformen Server STABIL
+// bleibt (kein unnötiger Voll-Resync bei jedem einzelnen Lauf).
+func (c *RealClient) resolveUIDValidity(lines []string, mailbox string) (uint64, error) {
+	v, found := extractUIDValidity(lines)
+	if !found {
+		c.log("imapimport: unerwartete server-antwort: keine UIDVALIDITY in SELECT-Antwort für %q gefunden, verwende fallback", mailbox)
+		return fallbackUIDValidity(mailbox), nil
+	}
+	if v == 0 {
+		c.log("imapimport: UIDVALIDITY=0 gemeldet für postfach %q (bekannte abweichung nicht-konformer server) — verwende definierten fallback statt sync-abbruch", mailbox)
+		return fallbackUIDValidity(mailbox), nil
+	}
+	return v, nil
+}
+
+// fallbackUIDValidity leitet einen deterministischen, garantiert von 0
+// verschiedenen Ersatzwert aus dem Postfachnamen ab (FNV-1a, gleiche
+// Technik wie mail/internal/search.DocumentID).
+func fallbackUIDValidity(mailbox string) uint64 {
+	h := fnv.New64a()
+	_, _ = h.Write([]byte("imap-fallback-uidvalidity:"))
+	_, _ = h.Write([]byte(mailbox))
+	v := h.Sum64()
+	if v == 0 {
+		v = 1
+	}
+	return v
+}
+
+// extractUIDValidity sucht "UIDVALIDITY <n>" in den SELECT-Antwortzeilen.
+// found=false, wenn keine UIDVALIDITY-Angabe vorhanden ODER sie nicht als
+// Zahl lesbar ist (beides bekannte Serverabweichungen, siehe
+// resolveUIDValidity — kein Fehlerabbruch an dieser Stelle).
+func extractUIDValidity(lines []string) (value uint64, found bool) {
 	for _, line := range lines {
 		idx := strings.Index(line, "UIDVALIDITY ")
 		if idx == -1 {
@@ -112,44 +190,62 @@ func extractUIDValidity(lines []string) (uint64, error) {
 		}
 		v, err := strconv.ParseUint(rest[:end], 10, 64)
 		if err != nil {
-			return 0, fmt.Errorf("imapimport: uidvalidity parsen: %w", err)
+			return 0, false
 		}
-		return v, nil
+		return v, true
 	}
-	return 0, fmt.Errorf("imapimport: keine UIDVALIDITY in SELECT-Antwort gefunden")
+	return 0, false
 }
 
 // parseFetchLines parst Zeilen der Form
 // "* <seq> FETCH (UID <uid> FLAGS (<flags>))" (siehe mail/internal/imap
-// writeFetchResults).
-func parseFetchLines(lines []string) []RemoteMessage {
+// writeFetchResults). Akzeptanzkriterium 2: eine einzelne unerwartete/
+// kaputte Zeile wird protokolliert und übersprungen, alle übrigen,
+// korrekt lesbaren Nachrichten werden trotzdem geliefert — der gesamte
+// Lauf bricht dafür NICHT ab.
+func (c *RealClient) parseFetchLines(lines []string) []RemoteMessage {
 	var messages []RemoteMessage
 	for _, line := range lines {
-		if !strings.Contains(line, "FETCH (UID ") {
+		if !strings.HasPrefix(line, "* ") {
+			continue // getaggte Abschlusszeile ("C3 OK ..."), kein Untagged-FETCH
+		}
+		if !strings.Contains(line, "FETCH ") {
+			continue // anderweitiges Untagged (z. B. künftig "* OK ..."), nichts zu parsen
+		}
+		msg, ok := parseSingleFetchLine(line)
+		if !ok {
+			c.log("imapimport: unerwartete server-antwort übersprungen: %q", line)
 			continue
 		}
-		uidIdx := strings.Index(line, "UID ") + len("UID ")
-		rest := line[uidIdx:]
-		spaceIdx := strings.IndexByte(rest, ' ')
-		if spaceIdx == -1 {
-			continue
-		}
-		uid, err := strconv.ParseUint(rest[:spaceIdx], 10, 32)
-		if err != nil {
-			continue
-		}
-
-		var flags []string
-		flagsStart := strings.Index(line, "FLAGS (")
-		flagsEnd := strings.LastIndex(line, ")")
-		if flagsStart != -1 && flagsEnd > flagsStart {
-			inner := line[flagsStart+len("FLAGS (") : flagsEnd]
-			if inner != "" {
-				flags = strings.Split(inner, " ")
-			}
-		}
-
-		messages = append(messages, RemoteMessage{UID: uint32(uid), Flags: flags})
+		messages = append(messages, msg)
 	}
 	return messages
 }
+
+func parseSingleFetchLine(line string) (RemoteMessage, bool) {
+	if !strings.Contains(line, "FETCH (UID ") {
+		return RemoteMessage{}, false
+	}
+	uidIdx := strings.Index(line, "UID ") + len("UID ")
+	rest := line[uidIdx:]
+	spaceIdx := strings.IndexByte(rest, ' ')
+	if spaceIdx == -1 {
+		return RemoteMessage{}, false
+	}
+	uid, err := strconv.ParseUint(rest[:spaceIdx], 10, 32)
+	if err != nil {
+		return RemoteMessage{}, false
+	}
+
+	var flags []string
+	flagsStart := strings.Index(line, "FLAGS (")
+	flagsEnd := strings.LastIndex(line, ")")
+	if flagsStart != -1 && flagsEnd > flagsStart {
+		inner := line[flagsStart+len("FLAGS (") : flagsEnd]
+		if inner != "" {
+			flags = strings.Split(inner, " ")
+		}
+	}
+
+	return RemoteMessage{UID: uint32(uid), Flags: flags}, true
+}

mail/internal/imapimport/nonconformant_test.go

@@ -0,0 +1,164 @@
+// IMP-04: Fehlerbehandlung nicht-konformer Server. Baut einen minimalen,
+// hand-gesteuerten Fake-Server (roher TCP, KEIN mail/internal/imap) auf,
+// der bewusst nicht-konforme Antworten sendet — echte Kontrolle über
+// genau das Fehlerszenario, das getestet werden soll.
+package imapimport
+
+import (
+	"bufio"
+	"context"
+	"fmt"
+	"net"
+	"strings"
+	"testing"
+)
+
+// scriptedServer nimmt EINE Verbindung an und sendet exakt die
+// vorgegebenen Zeilen als Antwort auf jedes eingehende Kommando (in
+// Reihenfolge) — genug Kontrolle, um nicht-konforme Serverantworten
+// exakt zu reproduzieren.
+type scriptedServer struct {
+	responses [][]string // je eingehendem Kommando eine Antwortzeilen-Liste
+}
+
+func (s *scriptedServer) start(t *testing.T) (addr string) {
+	t.Helper()
+	listener, err := net.Listen("tcp", "127.0.0.1:0")
+	if err != nil {
+		t.Fatalf("listener: %v", err)
+	}
+	go func() {
+		conn, err := listener.Accept()
+		if err != nil {
+			return
+		}
+		defer func() { _ = conn.Close() }()
+		reader := bufio.NewReader(conn)
+
+		_, _ = conn.Write([]byte("* OK IMAP4rev1 Service Ready\r\n"))
+		for _, respLines := range s.responses {
+			if _, err := reader.ReadString('\n'); err != nil {
+				return
+			}
+			for _, line := range respLines {
+				if _, err := conn.Write([]byte(line + "\r\n")); err != nil {
+					return
+				}
+			}
+		}
+	}()
+	t.Cleanup(func() { _ = listener.Close() })
+	return listener.Addr().String()
+}
+
+// TestResolveUIDValidity_ZeroTriggersDefinedFallbackNotAbort ist die
+// geforderte Pflichtprüfung 1: Test simuliert Server mit UIDVALIDITY=0
+// und bestätigt greifenden Fallback.
+func TestResolveUIDValidity_ZeroTriggersDefinedFallbackNotAbort(t *testing.T) {
+	srv := &scriptedServer{responses: [][]string{
+		{"C1 OK LOGIN completed"},
+		{"* 3 EXISTS", "* OK [UIDVALIDITY 0] UIDs valid", "C2 OK [READ-WRITE] SELECT completed"},
+		{"* 1 FETCH (UID 1 FLAGS ())", "* 2 FETCH (UID 2 FLAGS ())", "* 3 FETCH (UID 3 FLAGS ())", "C3 OK UID FETCH completed"},
+		{"C4 OK LOGOUT completed"},
+	}}
+	addr := srv.start(t)
+
+	var loggedFallback bool
+	client := NewRealClient(addr, "user", "pass").WithLogger(func(format string, args ...any) {
+		msg := fmt.Sprintf(format, args...)
+		if strings.Contains(msg, "UIDVALIDITY=0") {
+			loggedFallback = true
+		}
+	})
+
+	uidvalidity, messages, err := client.Sync(context.Background(), "INBOX")
+	if err != nil {
+		// Akzeptanzkriterium 1: KEIN Sync-Abbruch bei UIDVALIDITY=0.
+		t.Fatalf("erwartete erfolgreichen sync trotz UIDVALIDITY=0, habe fehler: %v", err)
+	}
+	if uidvalidity == 0 {
+		t.Fatal("erwartete definierten fallback-wert != 0, habe weiterhin 0")
+	}
+	if len(messages) != 3 {
+		t.Fatalf("erwartete 3 nachrichten trotz UIDVALIDITY=0, habe %d", len(messages))
+	}
+	if !loggedFallback {
+		t.Fatal("erwartete protokollierten fallback-hinweis (akzeptanzkriterium 3: nachvollziehbar)")
+	}
+
+	// Fallback ist deterministisch für dasselbe Postfach — ein zweiter
+	// Aufruf gegen einen erneut nicht-konformen Server liefert real
+	// denselben Ersatzwert, löst also keinen unnötigen Voll-Resync bei
+	// jedem einzelnen Lauf aus.
+	if fallbackUIDValidity("INBOX") != uidvalidity {
+		t.Fatalf("erwartete deterministischen fallback, habe %d vs %d", fallbackUIDValidity("INBOX"), uidvalidity)
+	}
+}
+
+// TestParseFetchLines_UnexpectedResponseSkippedRestContinue ist die
+// geforderte Pflichtprüfung 2: Test mit unerwarteter/kaputter
+// Serverantwort bestätigt Weiterlauf für übrige Nachrichten.
+func TestParseFetchLines_UnexpectedResponseSkippedRestContinue(t *testing.T) {
+	srv := &scriptedServer{responses: [][]string{
+		{"C1 OK LOGIN completed"},
+		{"* 3 EXISTS", "* OK [UIDVALIDITY 42] UIDs valid", "C2 OK [READ-WRITE] SELECT completed"},
+		{
+			"* 1 FETCH (UID 1 FLAGS ())",
+			"* GARBAGE NOT EVEN A FETCH LINE AT ALL",     // kaputte/unerwartete Antwort
+			"* 2 FETCH SOMETHING UNPARSEABLE HERE (UID)", // ebenfalls kaputt
+			"* 3 FETCH (UID 3 FLAGS (\\Seen))",
+			"C3 OK UID FETCH completed",
+		},
+		{"C4 OK LOGOUT completed"},
+	}}
+	addr := srv.start(t)
+
+	var skippedCount int
+	client := NewRealClient(addr, "user", "pass").WithLogger(func(format string, args ...any) {
+		msg := fmt.Sprintf(format, args...)
+		if strings.Contains(msg, "unerwartete server-antwort übersprungen") {
+			skippedCount++
+		}
+	})
+
+	uidvalidity, messages, err := client.Sync(context.Background(), "INBOX")
+	if err != nil {
+		t.Fatalf("erwartete erfolgreichen sync trotz kaputter zeilen, habe fehler: %v", err)
+	}
+	if uidvalidity != 42 {
+		t.Fatalf("erwartete uidvalidity=42, habe %d", uidvalidity)
+	}
+	// Akzeptanzkriterium 2: die BEIDEN kaputten Zeilen werden übersprungen
+	// UND protokolliert, die ÜBRIGEN (real 2) Nachrichten kommen trotzdem an.
+	if len(messages) != 2 {
+		t.Fatalf("erwartete 2 lesbare nachrichten trotz kaputter zeilen, habe %d: %+v", len(messages), messages)
+	}
+	if skippedCount != 2 {
+		t.Fatalf("erwartete 2 protokollierte übersprungene zeilen, habe %d", skippedCount)
+	}
+}
+
+// TestResolveUIDValidity_RegressionGuardAgainstZeroAbort ist die
+// geforderte Pflichtprüfung 3: Regressionstest verhindert
+// Wiederauftreten des UIDVALIDITY-Bugs — prüft die Fallback-Funktion
+// isoliert und direkt, unabhängig vom Netzwerkpfad.
+func TestResolveUIDValidity_RegressionGuardAgainstZeroAbort(t *testing.T) {
+	client := NewRealClient("unused:0", "u", "p")
+	value, err := client.resolveUIDValidity([]string{"* OK [UIDVALIDITY 0] UIDs valid"}, "INBOX")
+	if err != nil {
+		t.Fatalf("regression: UIDVALIDITY=0 löste real einen fehler aus (der genau vermiedene bug): %v", err)
+	}
+	if value == 0 {
+		t.Fatal("regression: fallback lieferte weiterhin 0 — bug erneut aufgetreten")
+	}
+
+	// Fehlende UIDVALIDITY-Angabe (noch nicht-konformer als 0) darf
+	// ebenfalls nicht abbrechen.
+	value2, err := client.resolveUIDValidity([]string{"C2 OK SELECT completed"}, "INBOX")
+	if err != nil {
+		t.Fatalf("regression: fehlende UIDVALIDITY löste real einen fehler aus: %v", err)
+	}
+	if value2 == 0 {
+		t.Fatal("regression: fallback bei fehlender UIDVALIDITY lieferte 0")
+	}
+}

mail/internal/mimeparse/tolerant.go

@@ -0,0 +1,132 @@
+// IMP-02: fehlertolerantes Parsing für den Import-Pfad. Additive
+// Erweiterung — Parse/parseMultipart (ING-04) bleiben UNVERÄNDERT, deren
+// Verhalten und Tests sind nicht Gegenstand dieser Kachel. ParseTolerant
+// nutzt dieselben internen Helfer (readSinglePart, decodeTransferEncoding
+// usw.), bricht aber bei EINEM fehlerhaften Teil NICHT die gesamte
+// Nachricht ab (Akzeptanzkriterium 3), sondern verzeichnet den Fehler und
+// verarbeitet die übrigen Teile weiter. Zusätzlich wird ein
+// Gesamtgrößenlimit über alle Teile hinweg durchgesetzt
+// (Akzeptanzkriterium 2 — maxAttachmentSize aus Parse ist nur das Limit
+// je EINZELNEM Anhang).
+package mimeparse
+
+import (
+	"errors"
+	"fmt"
+	"io"
+	"mime"
+	"mime/multipart"
+	"net/mail"
+	"strings"
+)
+
+// PartError beschreibt EINEN Teil, der nicht verarbeitet werden konnte —
+// die übrigen Teile der Nachricht sind davon unberührt.
+type PartError struct {
+	Filename string
+	Err      error
+}
+
+func (e PartError) Error() string {
+	return fmt.Sprintf("mimeparse: teil %q: %v", e.Filename, e.Err)
+}
+
+// ParseTolerant ist wie Parse, bricht aber bei einem fehlerhaften
+// EINZELNEN Teil (z. B. überdimensionierter Anhang) nicht die gesamte
+// Nachricht ab — der fehlerhafte Teil landet in den zurückgegebenen
+// PartErrors, Text und übrige Anhänge werden unangetastet weiter
+// verarbeitet (Akzeptanzkriterium 3). Nur eine strukturell unlesbare
+// Nachricht (kaputte Kopfzeilen, fehlende Boundary) liefert weiterhin
+// einen echten Fehler — davon kann sich kein Teil-für-Teil-Fallback
+// erholen.
+func ParseTolerant(r io.Reader, maxAttachmentSize, maxMessageSize int64) (Message, []PartError, error) {
+	msg, err := mail.ReadMessage(r)
+	if err != nil {
+		return Message{}, nil, fmt.Errorf("mimeparse: nachricht lesen: %w", err)
+	}
+
+	mediaType, params, err := mime.ParseMediaType(msg.Header.Get("Content-Type"))
+	if err != nil {
+		body, readErr := readLimited(msg.Body, maxAttachmentSize)
+		if readErr != nil {
+			return Message{}, []PartError{{Filename: "", Err: readErr}}, nil
+		}
+		return Message{Parts: []Part{{ContentType: "text/plain", Content: body, Size: int64(len(body))}}}, nil, nil
+	}
+
+	var result Message
+	var partErrors []PartError
+	budget := maxMessageSize
+
+	if strings.HasPrefix(mediaType, "multipart/") {
+		if err := parseMultipartTolerant(msg.Body, params["boundary"], maxAttachmentSize, &budget, &result, &partErrors); err != nil {
+			return Message{}, partErrors, err
+		}
+		return result, partErrors, nil
+	}
+
+	part, err := readSinglePart(msg.Header.Get("Content-Transfer-Encoding"), mediaType, "", msg.Body, maxAttachmentSize)
+	if err != nil {
+		return Message{}, []PartError{{Filename: "", Err: err}}, nil
+	}
+	result.Parts = append(result.Parts, part)
+	return result, nil, nil
+}
+
+func parseMultipartTolerant(r io.Reader, boundary string, maxAttachmentSize int64, budget *int64, result *Message, partErrors *[]PartError) error {
+	if boundary == "" {
+		return errors.New("mimeparse: multipart ohne boundary")
+	}
+	mr := multipart.NewReader(r, boundary)
+	for {
+		p, err := mr.NextPart()
+		if err == io.EOF {
+			return nil
+		}
+		if err != nil {
+			// Eine strukturell kaputte Multipart-Hülle (nicht ein
+			// einzelner Teil) kann von hier aus nicht sinnvoll fortgesetzt
+			// werden — kontrollierter Abbruch, wie in Parse.
+			return fmt.Errorf("mimeparse: multipart-teil lesen: %w", err)
+		}
+
+		contentType := p.Header.Get("Content-Type")
+		mediaType, subParams, err := mime.ParseMediaType(contentType)
+		if err != nil {
+			mediaType = "text/plain"
+		}
+		filename := decodeHeaderValue(p.FileName())
+
+		if strings.HasPrefix(mediaType, "multipart/") {
+			if err := parseMultipartTolerant(p, subParams["boundary"], maxAttachmentSize, budget, result, partErrors); err != nil {
+				*partErrors = append(*partErrors, PartError{Filename: filename, Err: err})
+			}
+			continue
+		}
+
+		if *budget <= 0 {
+			*partErrors = append(*partErrors, PartError{Filename: filename, Err: ErrMessageTooLarge})
+			continue
+		}
+
+		part, err := readSinglePart(p.Header.Get("Content-Transfer-Encoding"), mediaType, filename, p, maxAttachmentSize)
+		if err != nil {
+			// Akzeptanzkriterium 3: NUR dieser eine Teil fällt weg,
+			// Verarbeitung läuft weiter.
+			*partErrors = append(*partErrors, PartError{Filename: filename, Err: err})
+			continue
+		}
+		if part.Size > *budget {
+			*partErrors = append(*partErrors, PartError{Filename: filename, Err: ErrMessageTooLarge})
+			continue
+		}
+		*budget -= part.Size
+		result.Parts = append(result.Parts, part)
+	}
+}
+
+// ErrMessageTooLarge wird geliefert (als PartError), wenn die Summe aller
+// Anhangsgrößen einer Nachricht das Gesamtlimit überschreitet
+// (Akzeptanzkriterium 2 — je-Nachricht-Limit, zusätzlich zum
+// je-Anhang-Limit ErrAttachmentTooLarge aus Parse/readLimited).
+var ErrMessageTooLarge = errors.New("mimeparse: nachricht überschreitet die maximal erlaubte gesamtgröße")