v0.154.0 — R-48: one restore entry per app, and the intent is a described choice

The offsite restore list rendered up to five inline forms per app row. Two of them —
„Helyreállítás az élő adatok közé (csak a hiányzó fájlok)" and „Teljes visszaállítás
(fájlok + adatbázis)" — were sibling buttons whose difference is whether the customer's
data comes back at all. That mis-selection CAUSED the round-2 incident: an operator who
had read the source pressed the missing-only button and /backup/offbox/reconstitute was
never hit (DIAG-immich-restore-round2-2026-07-19, finding 1).

The rule this establishes: two adjacent controls whose difference is "your data comes
back" vs "your data cannot come back" must never be distinguishable only by layout.

Each row now carries ONE „Visszaállítás…" entry linking to a per-app wizard at
GET /backups/restore/app?name=<app>: three intent CARDS with consequence sentences, a
visible phase strip, danger styling plus the R-43 double-confirm carried over verbatim on
the destructive one, and the pair-honesty panel bound to real OffsiteScratchPair facts.

deriveWizardStep is pure over (op running, size-gate flash, scratch ready); the step is
never accepted from the request, and a running op outranks a stale ?full_prep= so no
commit button survives into a restore. While ANY op runs every mutation form is suppressed
server-side instead of being offered and refused.

No new mutation endpoint: every card posts to the pre-existing /backup/offbox/* handler
with the same field names and gates, and the page works with JavaScript disabled.
internal/{backup,appbackup,selfupdate} untouched. R-45's job registry stays its own item.

Fixes a latent bug found on the way: offboxRedirectTo hardcoded "?" when appending its
flash, which against the wizard's ?name=<app> target would have buried the flash inside
the name value.

No new agent coupling — MinAgent stays 0.90.0.

controller/internal/web/templates/backups_restore.html

@@ -58,61 +58,24 @@
 </div>
 {{end}}
 
-<!-- Ellenőrző visszaállítás a távoli (3. mentés) tárolóból — the per-app restore-to-verify
-     forms moved here from the Távoli mentés toggle list (v0.124.0 IA split). Display list =
-     the offbox-toggled apps; the action itself is unchanged. -->
+<!-- Visszaállítás a távoli (3. mentés) tárolóból. Display list = the offbox-toggled apps.
+     v0.124.0 moved these rows here from the Távoli mentés toggle list; v0.154.0 (R-48) reduced each
+     row to a SINGLE „Visszaállítás…" entry — the actions themselves are unchanged, they moved into
+     the wizard at /backups/restore/app. -->
 {{if .OffboxConfigured}}
 <div class="backup-section-card">
-    <h3>Ellenőrző visszaállítás a távoli tárolóból</h3>
-    <p class="form-hint" style="margin:-0.25rem 0 1rem">A távoli mentésre kijelölt alkalmazások legutóbbi pillanatképe egy külön ellenőrző mappába állítható vissza — a meglévő adatok nem változnak.</p>
+    <h3>Visszaállítás a távoli tárolóból</h3>
+    <p class="form-hint" style="margin:-0.25rem 0 1rem">Válaszd ki az alkalmazást, és a következő oldalon döntsd el, mit szeretnél: ellenőrzést külön mappába, csak a hiányzó fájlok visszahozását, vagy teljes visszaállítást. Egyik sem indul el kérdés nélkül.</p>
     {{if .OffboxToggledCount}}
     <div class="app-row-list">
         {{range .OffboxApps}}
         {{if .Enabled}}
         {{template "app_list_row" dict "Slug" .Slug "Name" .DisplayName}}
-            <form method="POST" action="/backup/offbox/restore" style="display:inline">{{$.CSRFField}}
-                <input type="hidden" name="app" value="{{.Name}}">
-                <input type="hidden" name="mode" value="unit">
-                <button type="submit" class="btn btn-xs btn-outline">Visszaállítás ellenőrzéshez (konfiguráció + adatbázis)</button>
-            </form>
-            <form method="POST" action="/backup/offbox/restore" style="display:inline">{{$.CSRFField}}
-                <input type="hidden" name="app" value="{{.Name}}">
-                <input type="hidden" name="mode" value="full">
-                <button type="submit" class="btn btn-xs btn-outline">Teljes visszaállítás előkészítése</button>
-            </form>
-            {{if $.FullPrepApp}}{{if eq $.FullPrepApp .Name}}
-            <form method="POST" action="/backup/offbox/restore" style="display:inline">{{$.CSRFField}}
-                <input type="hidden" name="app" value="{{.Name}}">
-                <input type="hidden" name="mode" value="full">
-                <input type="hidden" name="confirm" value="1">
-                <button type="submit" class="btn btn-xs btn-primary">Teljes visszaállítás indítása (~{{$.FullPrepSize}})</button>
-            </form>
-            {{end}}{{end}}
-            {{if $.OffboxScratchReady}}{{if index $.OffboxScratchReady .Name}}
-            <form method="POST" action="/backup/offbox/place" style="display:inline">{{$.CSRFField}}
-                <input type="hidden" name="app" value="{{.Name}}">
-                <button type="submit" class="btn btn-xs btn-outline">Helyreállítás az élő adatok közé (csak a hiányzó fájlok)</button>
-            </form>
-            <span class="form-hint" style="display:block;margin-top:.25rem">A meglévő fájlokat nem írja felül. Adatbázist nem állít vissza — törölt tartalom ettől nem jelenik meg újra.</span>
-            {{$pair := index $.OffboxPairInfo .Name}}
-            <form method="POST" action="/backup/offbox/reconstitute" style="display:inline">{{$.CSRFField}}
-                <input type="hidden" name="app" value="{{.Name}}">
-                <input type="hidden" name="confirm" value="1">
-                <button type="button" class="btn btn-xs btn-primary"
-                        data-restore-app="{{.Name}}"
-                        data-restore-when="{{if not $pair.DumpsAt.IsZero}}{{fmtTime $pair.DumpsAt}}{{end}}"
-                        data-restore-skewed="{{if $pair.Skewed}}1{{end}}"
-                        data-restore-empty="{{if $pair.LooksEmpty}}1{{end}}"
-                        onclick="confirmFullRestore(this)">Teljes visszaállítás (fájlok + adatbázis)</button>
-            </form>
-            <span class="form-hint" style="display:block;margin-top:.25rem">A fájlokat a mentés szerinti változatra állítja vissza és az adatbázist is visszatölti. Semmit nem töröl: a mentés óta létrejött fájlok megmaradnak. A jelenlegi adatbázisról előtte biztonsági mentés készül.</span>
-            {{if $pair.Skewed}}
-            <span class="form-hint" style="display:block;margin-top:.25rem;color:var(--warn)">Az adatbázis-mentés régebbi{{if not $pair.DumpsAt.IsZero}} ({{fmtTime $pair.DumpsAt}}){{end}} — a fájlok és az adatbázis eltérő időpontból származnak.</span>
-            {{end}}
-            {{if $pair.LooksEmpty}}
-            <span class="form-hint" style="display:block;margin-top:.25rem;color:var(--warn)">A mentett adatbázis üresnek tűnik (nincs benne felhasználói fiók) — elképzelhető, hogy a mentés korábbi, mint az adataid.</span>
-            {{end}}
-            {{end}}{{end}}
+            <!-- R-48: ONE entry per app. The five inline forms that used to live here — verify,
+                 prepare, the revealed commit, the missing-only merge and the true reconstitution —
+                 were separable only by layout, and two of them differed by whether the customer's
+                 data comes back at all. They are now described intents inside the wizard. -->
+            <a href="/backups/restore/app?name={{.Name}}" class="btn btn-xs btn-outline">Visszaállítás…</a>
         {{template "app_list_row_end"}}
         {{end}}
         {{end}}
@@ -235,26 +198,6 @@ function confirmDeleteVerifyCopy(btn){
         });
     });
 }
-/* R-43: the true offsite restore overwrites live files and replays a database, so it double-confirms
-   and — unlike the old missing-only merge — states the DB half's age and any warning BEFORE the
-   customer commits. The honesty lines are already rendered under the button; repeating the decisive
-   ones here means the person clicking "Igen" has read them. */
-function confirmFullRestore(btn){
-    var app = btn.getAttribute('data-restore-app') || '';
-    var when = btn.getAttribute('data-restore-when') || '';
-    var skewed = btn.getAttribute('data-restore-skewed') === '1';
-    var empty = btn.getAttribute('data-restore-empty') === '1';
-    var q = 'Teljes visszaállítás: ' + app + (when ? ' — a mentés ideje: ' + when : '') + '.';
-    if (skewed) { q += ' FIGYELEM: a fájlok és az adatbázis eltérő időpontból származnak.'; }
-    if (empty) { q += ' FIGYELEM: a mentett adatbázis üresnek tűnik.'; }
-    q += ' A fájlok a mentés szerinti változatra állnak vissza, semmi nem törlődik.';
-    felhomConfirm(btn, q, function(){
-        felhomConfirm(btn, 'UTOLSÓ MEGERŐSÍTÉS: az alkalmazás leáll, az adatbázis visszatöltődik, majd újraindul. A jelenlegi adatbázisról biztonsági mentés készül.', function(){
-            var f = btn.closest('form');
-            if (f) { if (f.requestSubmit) f.requestSubmit(); else f.submit(); }
-        });
-    });
-}
 function fabStart(stack, next){
     fetch('/api/export/download/start', {method:'POST', headers:Object.assign({'Content-Type':'application/json'}, csrfHeaders()), body: JSON.stringify({stack_name: stack, password: fabPassword()})})
         .then(function(r){ return r.json(); })