Token-Budget Hard-Stop + Banner bei aufgebrauchtem Budget

- check_license() liefert jetzt unlimited_budget, credits_total, credits_used,
  read_only_reason. Bei nicht-unlimited UND credits_used >= credits_total wird
  status=budget_exceeded, read_only=True gesetzt.
- require_writable_license blockiert mit 403 + X-License-Status-Header je nach Reason.
- /api/auth/me liefert read_only_reason und unlimited_budget; credits_percent_used
  wird nicht mehr auf 100 gekappt (echte Prozente).
- Frontend: Banner-Text dynamisch je nach reason (budget_exceeded/expired/...).
  Refresh-Button bei read_only deaktiviert + Tooltip. Globaler 403-Handler in
  api.js: bei X-License-Status -> Banner + Toast aktualisieren.

src/static/js/api.js

@@ -67,6 +67,29 @@ const API = {
             } else if (typeof detail === 'object' && detail !== null) {
                 detail = JSON.stringify(detail);
             }
+
+            // Lizenz-Status aus Header auslesen (vom Backend gesetzt bei 403)
+            const licStatus = response.headers.get('X-License-Status');
+            if (response.status === 403 && licStatus && typeof App !== 'undefined') {
+                if (!App.user) App.user = {};
+                App.user.read_only = true;
+                App.user.read_only_reason = licStatus;
+                const warningEl = document.getElementById('header-license-warning');
+                if (warningEl) {
+                    let text = 'Nur Lesezugriff';
+                    if (licStatus === 'budget_exceeded') text = 'Token-Budget aufgebraucht – nur Lesezugriff. Bitte Verwaltung kontaktieren.';
+                    else if (licStatus === 'expired') text = 'Lizenz abgelaufen – nur Lesezugriff';
+                    else if (licStatus === 'no_license') text = 'Keine aktive Lizenz – nur Lesezugriff';
+                    else if (licStatus === 'org_disabled') text = 'Organisation deaktiviert – nur Lesezugriff';
+                    warningEl.textContent = text;
+                    warningEl.classList.add('visible');
+                }
+                if (typeof App._updateRefreshButton === 'function') App._updateRefreshButton(false);
+                if (typeof UI !== 'undefined' && UI.showToast) {
+                    UI.showToast(detail || 'Lizenz-Beschränkung – nur Lesezugriff', 'error');
+                }
+            }
+
             throw new ApiError(response.status, detail);
         }
 

src/static/js/app.js

@@ -450,6 +450,7 @@ const App = {
 
         try {
             const user = await API.getMe();
+            this.user = user;
             this._currentUsername = user.email;
             document.getElementById('header-user').textContent = user.email;
 
@@ -515,11 +516,27 @@ const App = {
                 });
             }
 
-            // Warnung bei abgelaufener Lizenz
+            // Warnung bei Read-Only (Lizenz abgelaufen oder Token-Budget aufgebraucht)
             const warningEl = document.getElementById('header-license-warning');
-            if (warningEl && user.read_only) {
-                warningEl.textContent = 'Lizenz abgelaufen – nur Lesezugriff';
-                warningEl.classList.add('visible');
+            if (warningEl) {
+                if (user.read_only) {
+                    let text = 'Nur Lesezugriff';
+                    const reason = user.read_only_reason;
+                    if (reason === 'budget_exceeded') {
+                        text = 'Token-Budget aufgebraucht – nur Lesezugriff. Bitte Verwaltung kontaktieren.';
+                    } else if (reason === 'expired') {
+                        text = 'Lizenz abgelaufen – nur Lesezugriff';
+                    } else if (reason === 'no_license') {
+                        text = 'Keine aktive Lizenz – nur Lesezugriff';
+                    } else if (reason === 'org_disabled') {
+                        text = 'Organisation deaktiviert – nur Lesezugriff';
+                    }
+                    warningEl.textContent = text;
+                    warningEl.classList.add('visible');
+                } else {
+                    warningEl.textContent = '';
+                    warningEl.classList.remove('visible');
+                }
             }
 
             // --- Global Admin: Org-Switcher (herausnehmbar) ---
@@ -2130,8 +2147,19 @@ async handleRefresh() {
     _updateRefreshButton(disabled) {
         const btn = document.getElementById('refresh-btn');
         if (!btn) return;
+        // Hard-Stop: Lese-Modus (Budget aufgebraucht / Lizenz abgelaufen) -> immer disabled
+        if (this.user && this.user.read_only) {
+            btn.disabled = true;
+            const reason = this.user.read_only_reason;
+            btn.textContent = reason === 'budget_exceeded' ? 'Budget aufgebraucht' : 'Nur Lesezugriff';
+            btn.title = reason === 'budget_exceeded'
+                ? 'Token-Budget aufgebraucht. Bitte Verwaltung kontaktieren.'
+                : 'Lizenz erlaubt keinen Schreibzugriff';
+            return;
+        }
         btn.disabled = disabled;
         btn.textContent = disabled ? 'Läuft...' : 'Aktualisieren';
+        btn.title = '';
     },
 
     async handleDelete() {