Merge feature/fix-8d-retry (FIX-8D-RETRY P0): wrap docx import tx in CreateExecutionStrategy.ExecuteAsync (Npgsql retrying strategy) + regression

NpgsqlRetryingExecutionStrategy rejects user-initiated transactions: SaveChanges
inside a BeginTransactionAsync block triggers OnFirstExecution which throws
InvalidOperationException. Fix: CreateExecutionStrategy().ExecuteAsync wraps the
entire tx block; mutable state (counters, contactByNorm, change tracker) reset at
lambda top for idempotent retry. Logic extracted to RunLoopAsync local function
shared by dry-run and execute paths.

Regression test (Test 7): FakeRetryingStrategy with MaxRetryCount=1 reproduces
the OnFirstExecution check in CI without a live Npgsql instance.

165/165 tests, ef has-pending=No, no schema change.

Co-Authored-By: Claude Sonnet 4.6 (1M context) <noreply@anthropic.com>

GerbilManager.Tests/ImportDocxServiceTests.cs

@@ -2,6 +2,7 @@ using GerbilManagerWebAPI.Import;
 using GerbilManagerWebAPI.Models;
 using Microsoft.Data.Sqlite;
 using Microsoft.EntityFrameworkCore;
+using Microsoft.EntityFrameworkCore.Storage;
 
 namespace GerbilManager.Tests
 {
@@ -226,6 +227,52 @@ namespace GerbilManager.Tests
             }
         }
 
+        // ── Test 7: P0 REGRESSION — execute works under a retrying execution strategy ──
+
+        [Fact]
+        public async Task Execute_works_under_retrying_execution_strategy()
+        {
+            // Regression: NpgsqlRetryingExecutionStrategy (MaxRetryCount>0) calls
+            // OnFirstExecution() at the start of ExecuteAsync, which throws
+            // InvalidOperationException when it detects a user-initiated transaction
+            // that was NOT opened through the strategy. This test wires the same check
+            // (via FakeRetryingStrategy, MaxRetryCount=1) so the bug would surface in CI
+            // without a live Npgsql instance.
+            //
+            // With the BUG (direct BeginTransactionAsync before strategy.ExecuteAsync):
+            //   → OnFirstExecution sees active user tx → InvalidOperationException
+            // With the FIX (BeginTransactionAsync inside strategy.ExecuteAsync lambda):
+            //   → OnFirstExecution: no tx yet → OK
+            var conn = new SqliteConnection("DataSource=:memory:");
+            conn.Open();
+            var opts = new DbContextOptionsBuilder<ApplicationContext>()
+                .UseSqlite(conn)
+                .ReplaceService<IExecutionStrategyFactory, FakeRetryingStrategyFactory>()
+                .Options;
+            var db = new ApplicationContext(opts);
+            db.Database.EnsureCreated();
+
+            await using (conn)
+            await using (db)
+            {
+                WriteLitters(Array.Empty<object>());
+                WriteAnimals(new[]
+                {
+                    new { wsCode = "3/3", litterDob = "01.01.2023", name = "Pixie", gender = "female",
+                          owner = "Retry Adopter", abgabeDate = "01.03.2023",
+                          deathDate = "", deathCause = "", farbschlag = "" }
+                });
+
+                // Must NOT throw InvalidOperationException (user-initiated tx rejected)
+                var report = await new ImportDocxService(db, _dir).RunAsync(execute: true);
+
+                Assert.True(report.Executed);
+                Assert.Equal(1, report.Created);
+                Assert.Equal(1, await db.Gerbils.CountAsync());
+                Assert.Equal(1, await db.Contacts.CountAsync());
+            }
+        }
+
         // ── Test 6: P0 REGRESSION — same-name siblings get distinct ExternalRefs ─
 
         [Fact]
@@ -273,4 +320,24 @@ namespace GerbilManager.Tests
             }
         }
     }
+
+    // ── Helpers for Test 7 ────────────────────────────────────────────────────────
+
+    /// <summary>
+    /// Execution strategy with MaxRetryCount=1 so that EF Core's base
+    /// OnFirstExecution() throws when it detects a user-initiated transaction
+    /// that was not opened through CreateExecutionStrategy().ExecuteAsync().
+    /// ShouldRetryOn=false → no actual retry; the check alone is what we need.
+    /// </summary>
+    internal sealed class FakeRetryingStrategy(ExecutionStrategyDependencies deps)
+        : ExecutionStrategy(deps, maxRetryCount: 1, maxRetryDelay: TimeSpan.Zero)
+    {
+        protected override bool ShouldRetryOn(Exception exception) => false;
+    }
+
+    internal sealed class FakeRetryingStrategyFactory(ExecutionStrategyDependencies deps)
+        : IExecutionStrategyFactory
+    {
+        public IExecutionStrategy Create() => new FakeRetryingStrategy(deps);
+    }
 }

GerbilManagerWebAPI/Import/ImportDocxService.cs

@@ -22,7 +22,10 @@ namespace GerbilManagerWebAPI.Import
     ///   NEVER overwrites a manually-set non-null value (fill-NULL-only for all fields).
     ///
     /// Idempotent: running multiple times is safe. Re-run finds existing rows via ExternalRef.
-    /// Execute wraps all writes in a single transaction (atomic: crash → full rollback).
+    /// Execute wraps all writes in a single transaction via CreateExecutionStrategy() so that
+    /// providers using EnableRetryOnFailure (e.g. NpgsqlRetryingExecutionStrategy) are
+    /// compatible. The strategy lambda resets all mutable state at the top so it is safe
+    /// to re-run on transient-failure retry.
     /// Execute is gated by the endpoint; this service only acts when asked.
     /// </summary>
     public sealed class ImportDocxService
@@ -94,6 +97,11 @@ namespace GerbilManagerWebAPI.Import
                 .GroupBy(c => NormalizeName(c.Name))
                 .ToDictionary(g => g.Key, g => g.First().Id);
 
+            // Snapshot of DB contacts before any writes.
+            // Used to reset contactByNorm on strategy retry (rolled-back contacts vanish from DB
+            // but would remain in the in-memory dict without this reset).
+            var contactByNormBase = new Dictionary<string, Guid>(contactByNorm);
+
             // ColorVariety lookup: normalized name → Id (for CREATE path Farbschlag matching)
             var colorVarietyByName = (await _db.ColorVarieties
                 .Select(cv => new { cv.Id, cv.Name })
@@ -105,19 +113,15 @@ namespace GerbilManagerWebAPI.Import
             int ownerLinked = 0, ownerCreated = 0, skipped = 0;
 
             // Ordinal counter for collision-free ExternalRef within this batch.
-            // Two animals with the same base ref (same ws+name+litterDob) get -2, -3 suffixes.
             var externalRefOrdinals = new Dictionary<string, int>();
 
             // Belt-and-suspenders: guard against adding the same ExternalRef twice in one run.
             var batchRefs = new HashSet<string>();
 
-            // --- Planning pass (dry-run counts + execute writes) ---
-            // Execute path is wrapped in a single transaction for atomicity.
-            Microsoft.EntityFrameworkCore.Storage.IDbContextTransaction? tx = null;
-            if (execute)
-                tx = await _db.Database.BeginTransactionAsync();
-
-            try
+            // Inner loop — shared by dry-run and execute paths.
+            // All local variables above are captured by reference (C# closure), so the strategy
+            // lambda can reset them before each retry and RunLoopAsync sees the fresh state.
+            async Task RunLoopAsync()
             {
                 foreach (var da in docxAnimals)
                 {
@@ -276,21 +280,36 @@ namespace GerbilManagerWebAPI.Import
                         });
                     }
                 }
-
-                // Flush all gerbil inserts + enrich updates in one shot (within the tx)
-                if (execute && (animalsCreated + litterLinked + goHomeFilled + deathFilled + ownerCreated) > 0)
-                    await _db.SaveChangesAsync();
-
-                if (tx is not null) await tx.CommitAsync();
             }
-            catch
+
+            if (!execute)
             {
-                // tx.DisposeAsync (in finally) rolls back if not committed
-                throw;
+                // Dry-run: just count, no writes, no transaction needed.
+                await RunLoopAsync();
             }
-            finally
+            else
             {
-                if (tx is not null) await tx.DisposeAsync();
+                // Execute: wrap the entire transaction in the execution strategy so that providers
+                // with EnableRetryOnFailure (NpgsqlRetryingExecutionStrategy) are compatible.
+                // The lambda resets all mutable state at the top so retries start clean.
+                var strategy = _db.Database.CreateExecutionStrategy();
+                await strategy.ExecuteAsync(async () =>
+                {
+                    // Reset mutable state — idempotent on strategy retry
+                    _db.ChangeTracker.Clear();
+                    externalRefOrdinals.Clear();
+                    batchRefs.Clear();
+                    animalsCreated = 0; litterLinked = 0; goHomeFilled = 0; deathFilled = 0;
+                    ownerLinked = 0; ownerCreated = 0; skipped = 0;
+                    // Rebuild from DB snapshot: contacts added in a failed attempt were rolled back
+                    contactByNorm = new Dictionary<string, Guid>(contactByNormBase);
+
+                    await using var tx = await _db.Database.BeginTransactionAsync();
+                    await RunLoopAsync();
+                    if ((animalsCreated + litterLinked + goHomeFilled + deathFilled + ownerCreated) > 0)
+                        await _db.SaveChangesAsync();
+                    await tx.CommitAsync();
+                });
             }
 
             notes.Add($"Quelle: {docxLitters.Count} Würfe, {docxAnimals.Count} Tier-Zeilen aus der docx.");

HUMANQUESTION.md

@@ -21,7 +21,7 @@ Feinschliff** — siehe unten._
 | **A3** | **Gmail App-Passwort.** Google-Konto → 2-Faktor aktivieren → „App-Passwörter" → eines für „GerbilManager" → 16-stelligen Code an Michael. | E-Mail-Posteingang (Anfragen abrufen + KI-Antwortentwürfe). Backend ist fertig, wartet nur auf den Zugang. |
 | **A4** | **Domain-Name** (registriert ✔) + **Cloudflare-Konto & API-Token** (Berechtigung „Cloudflare Pages → Edit"). | Öffentliche Webseite veröffentlichen (Jimdo-Ersatz). Seite ist gebaut. |
 | **A5** | **TrueNAS-Restfragen:** (a) SCALE-Version? · (c) eigener Postgres-Container (empfohlen) oder bestehender NAS-Postgres? · (d) Dataset-Pfad für Daten/Backups, Port 80 frei? | Produktiv-Betrieb auf dem NAS (compose ist fertig vorbereitet). |
-| **A5b2** | **2 Gitea-Repo-Secrets** anlegen (Repo → Einstellungen → Actions → Secrets): `REGISTRY_USER` (dein Gitea-Login) + `REGISTRY_TOKEN` (Token mit `write:package`). | CI pusht fertige Docker-Images in die Registry. (Die CI-Tests laufen bereits grün.) |
+| **A5b2** | **2 Gitea-Repo-Secrets** anlegen (Repo `Gulum/GerbilManager` → **Einstellungen → Actions → Secrets → Secret hinzufügen**): `REGISTRY_USER` = `gulum` · `REGISTRY_TOKEN` = Gitea-Zugriffstoken mit Scope **`write:package`** (erzeugen unter **Benutzer-Einstellungen → Anwendungen → Zugriffstoken verwalten**, Token wird nur einmal angezeigt → in das Secret kopieren). Danach Action erneut laufen lassen. **Heads-up (wahrscheinlicher NÄCHSTER Fehler):** die Registry `192.168.2.115:13000` ist HTTP (kein TLS) → der Runner-Docker-Daemon (auf der NAS) braucht `/etc/docker/daemon.json` → `"insecure-registries": ["192.168.2.115:13000"]` + Daemon-Neustart, sonst „http: server gave HTTP response to HTTPS client". | CI pusht fertige Docker-Images in die Registry. (Tests laufen grün; aktuell rot ist NUR der Login-Schritt: `secrets.REGISTRY_USER`/`REGISTRY_TOKEN` sind leer → „Username and password required".) |
 
 ## B. Kleine Aktion (jederzeit)
 
@@ -52,7 +52,7 @@ Aktuell eingebaute Häkchen-Eigenschaften (für die KI-Verkaufstexte) — **soll
 
 ## D7 · Neue Konflikt-Tiere aus den 41 Stammbäumen (bitte entscheiden)
 
-Durch die vielen neuen Stammbaum-Dateien sind **13 neue Konflikt-Tiere** aufgetaucht (gleicher Name+Datum, widersprüchliche Angaben in mehreren Diagrammen). Sie warten in Quarantäne — **nichts ist verloren**, sie laden automatisch nach, sobald du je Tier kurz sagst was stimmt. (Uw=G + „Vorhandensein gewinnt" sind schon angewendet; das hier ist der echte Rest.)
+Durch die vielen neuen Stammbaum-Dateien sind **13 neue Konflikt-Tiere** aufgetaucht (**3 erledigt:** Kazumi/Filou/Sokrates ✅ — **10 offen**) (gleicher Name+Datum, widersprüchliche Angaben in mehreren Diagrammen). Sie warten in Quarantäne — **nichts ist verloren**, sie laden automatisch nach, sobald du je Tier kurz sagst was stimmt. (Uw=G + „Vorhandensein gewinnt" sind schon angewendet; das hier ist der echte Rest.)
 
 **A) Nur Sterbedatum offen** (Gencode einig — bei Osamu/Filou/Sunny zusätzlich „taub" beibehalten):
 | Tier | Sterbedatum — welches? |
@@ -60,7 +60,7 @@ Durch die vielen neuen Stammbaum-Dateien sind **13 neue Konflikt-Tiere** aufgeta
 | Isa of Golden Lights (*24.12.2014) | 21.07.2018 ↔ 21.10.2018 |
 | Jack II v.d. K.C. (*14.02.2016) | 06.10.2019 ↔ 20.10.2019 |
 | Osamu v.d. K.C. (*10.12.2015) | 01.10.2020 ↔ 18.12.2020 |
-| Filou v.d. K.C. (*24.11.2014) | 31.08.2019 ↔ 31.10.2019 |
+| ~~Filou v.d. K.C. (*24.11.2014)~~ ✅ | **31.08.2019** (erledigt) |
 | Sunny von PZ Karl (*10.04.2014) | 30.04.2019 ↔ 05.05.2019 |
 
 **B) Gencode-Konflikt** (+ ggf. Sterbedatum):
@@ -69,10 +69,10 @@ Durch die vielen neuen Stammbaum-Dateien sind **13 neue Konflikt-Tiere** aufgeta
 | Milon v.d. K.C. (*27.11.2014) | A-Locus: **Aa** ↔ **aa** |
 | Percy of little runners (*16.12.2017) | P-Locus: **PP** ↔ **Pp** |
 | Iwana of little runners (*02.10.2018) | P-Locus: **PP** ↔ **Pp** |
-| Sokrates v.d. K.C. (*14.12.2015) | D-Locus: **D-** ↔ **Dd** · + Sterbedatum 20.05.**2019** ↔ **2020** |
+| ~~Sokrates v.d. K.C. (*14.12.2015)~~ ✅ | **D-** + Sterbedatum **20.05.2019** (erledigt) |
 | Eragon (Elieus, *18.05.2016) | C-Locus: **CC** (vollfarbig) ↔ **c[chm]c[chm]** (Colourpoint) |
 | Dakota of sweet little mouse (*30.01.2015) | A: **Aa**↔**aa** · P: **pp**↔**PP** · Sp: **Spsp**↔**spsp** |
-| Kazumi v.d. K.C. (*23.04.2013) | A: **Aa**↔**aa** · G: **GG**↔**Gg** · P: **PP**↔**Pp** · Sp: **Spsp**↔**spsp** |
+| ~~Kazumi v.d. K.C. (*23.04.2013)~~ ✅ | **Aa Cc[chm] DD ee[f] GG PP Spsp** (erledigt) |
 | Max von Privat (*01.02.2013) | D: **D-**↔**DD** · P: **P-**↔**PP** · Sterbedatum (4 Varianten: 04.02.2016 / 04.03.2016 / 2014 / 30.12.2015) |
 
 *(Alle Gencode-Varianten + Quelldateien: `tools/import/output/review-report.md`.)*

tools/import/conflict-decisions.json

@@ -119,6 +119,28 @@
       "decision": "death date = 12.12.2019 (confirmed; the 14.01.2020 variant was wrong)",
       "dateOfDeath": "12.12.2019",
       "source": "Julian 2026-06-07 — HUMANQUESTION D5/D6 (letzter D6-Konflikt)"
+    },
+    {
+      "name": "Kazumi von den Kleinen Chaoten",
+      "dob": "23.04.2013",
+      "decision": "voller Genotyp von der Züchterin — löst die 4 strittigen Loci: A=Aa, G=GG, P=PP, Sp=Spsp",
+      "genotype": "Aa Cc[chm] DD ee[f] GG PP Spsp",
+      "source": "Julian/Züchterin 2026-06-07 — HUMANQUESTION D7"
+    },
+    {
+      "name": "Filou von den Kleinen Chaoten",
+      "dob": "24.11.2014",
+      "decision": "Sterbedatum = 31.08.2019 (die 31.10.2019-Variante war falsch); Gencode war einig",
+      "dateOfDeath": "31.08.2019",
+      "source": "Julian/Züchterin 2026-06-07 — HUMANQUESTION D7"
+    },
+    {
+      "name": "Sokrates von den Kleinen Chaoten",
+      "dob": "14.12.2015",
+      "decision": "D-Locus = D- (nicht Dd) + Sterbedatum = 20.05.2019 (nicht 2020). Genotyp = die einigen Loci aus dem Extrakt mit D auf D- gesetzt (Uw→G normalisiert).",
+      "genotype": "aa Cc[-] D- ee Gg Pp spsp",
+      "dateOfDeath": "20.05.2019",
+      "source": "Julian/Züchterin 2026-06-07 — HUMANQUESTION D7"
     }
   ]
 }