Weboberflaeche hinzugefuegt und Fachlogik nach App herausgeloest (#493, #494)

- ClawdDotNet.Web: Kestrel im Prozess der Anwendung, Token-Absicherung (TokenGate mit FixedTimeEquals), Endpunkte unter /api, Ereignisstrom unter /events (Server-Sent Events) und fortlaufendes Log-Streaming.

- Weboberflaeche (wwwroot/): Vollstaendiges Single-Page-Frontend mit nativem HTML5, CSS3 und ES-Modulen ohne Buildschritt (strikt textContent, #-Routing, sofortiger Login-Sprung bei fehlendem Token, Light/Dark-Theme, lokale Barlow-Schriften).

- ClawdDotNet.App: Fachlogik aus den Avalonia-ViewModels in Dienste herausgeloest (AgentAdministration, JobAdministration, ServiceAdministration, RunCoordinator) und ueber InstanceChange synchronisiert.

- Tests: ClawdDotNet.Web.Tests und ClawdDotNet.App.Tests hinzugefuegt, alle 684 Tests erfolgreich.

src/ClawdDotNet.Core/Security/ConfigSecrets.cs

@@ -22,7 +22,7 @@ public static class ConfigSecrets
     {
         "password", "password2fa", "passwort",
         "apikey", "api_key", "xapikey", "openrouterapikey", "apihash", "apisecret",
-        "token", "accesstoken", "bottoken", "authtoken",
+        "token", "accesstoken", "bottoken", "authtoken", "webuitoken",
         "secret", "clientsecret",
         "connectionstring"
     };
@@ -39,6 +39,12 @@ public static class ConfigSecrets
     {
         config.OpenRouterApiKey = transform(config.OpenRouterApiKey) ?? "";
 
+        // Das Zugangstoken der Weboberflaeche ist ein Zugangsdatum wie jedes andere.
+        // Ohne diese Zeile stuende es im Klartext neben dem geschuetzten
+        // OpenRouter-Schluessel — der Name allein in SecretKeys traegt hier nicht, weil
+        // InstanceConfig kein freies Woerterbuch ist, sondern feste Felder hat.
+        config.WebUiToken = transform(config.WebUiToken) ?? "";
+
         if (config.TelegramClient is { } telegram)
         {
             telegram.ApiHash = transform(telegram.ApiHash) ?? "";