Bugtracker-Durchgang: 13 Bugs behoben, Build ohne Warnungen

Alle Behebungen auf der Linux-Test-VM gegengeprueft (Ubuntu, .NET 10.0.111):
Build 0 Warnungen / 0 Fehler, 637 Tests gruen, 1 uebersprungen (WindowsFact).

Sicherheit und Zielplattform
  #373 PathBoundary.Canonicalize fiel offen aus. File.ResolveLinkTarget wirft
       fuer einen fehlenden Abschnitt FileNotFoundException; der catch(IOException)
       verliess daraufhin die GANZE Aufloesung mit dem unaufgeloesten Pfad - und
       der besteht jede Praefixpruefung. Der Symlink-Schutz war damit bei jedem
       Schreibvorgang wirkungslos. Jetzt ueber FileSystemInfo.LinkTarget, und
       TryCanonicalize meldet "nicht bestimmbar", statt fail-open durchzureichen.
  #374 WorkspacePath weist den Backslash rundheraus ab, wie den Doppelpunkt.
       Eine Schreibweise statt einer Sonderregel je Windows-Form.
  #375 Log-Verzeichnis: leer heisst "Anwendungseinstellung"; ein relativer Wert
       zaehlt gegen das Instanzverzeichnis, nicht gegen das Arbeitsverzeichnis
       des Prozesses. Ein systemd-Dienst landet nicht mehr auf /Logs.

Agentenkommunikation
  #206 Delegationskette gegen A->B->A (Test A13). Zyklusfrei per Bauart, dazu
       MaxDelegationDepth gegen die Staffel, die niemand beauftragt hat.
  #461 Zwei unabhaengige Ketten ueber Kreuz - beim Beheben von #206 gefunden und
       reproduziert. Ein delegierter Lauf wartet nur noch begrenzt auf ein fremdes
       Gate; ein Chat vom Menschen reiht sich weiter unbegrenzt ein.
  #234 Instanz-Id wird durchgereicht statt aus einem nur beilaeufig gesetzten Feld
       gelesen.

Betrieb und Oberflaeche
  #376 Log-Ansicht chronologisch statt gruppiert je Moduldatei, mit Stacktraces
       an ihrer Meldung - auch ueber Taktgrenzen hinweg.
  #377 Info-Tabelle: feste Spaltenbreiten, damit ein langer Aenderungstext den
       anderen Spalten nicht den Platz nimmt.
  #378 Sicherung: Mindestabstand zwischen Ueberschrift und Schaltflaechenleiste.
  #379 Hellmodus: drei von vier gedaempften Textpinseln lagen unter 4,5:1. Die
       helle Palette ist als Ganzes verschoben, damit die Staffelung sichtbar
       bleibt statt auf einen Wert zusammenzufallen.

Hygiene
  #233 stock_add: der Indexstand wird innerhalb der Sperre festgehalten.
  #235 Zeitumstellung: eine nicht existierende Ortszeit wird auf den ersten
       Zeitpunkt nach der Luecke verschoben statt uebersprungen (R4, R5).
  #236 45 Nullable-Warnungen und eine CA1416 - nicht unterdrueckt, sondern die
       Stellen so umgebaut, dass die Zusage nachvollziehbar wird. Mail meldet
       jetzt, WELCHER Zugangsschluessel fehlt, statt an einer
       KeyNotFoundException zu scheitern.
  #203 Kompaktiert wird vor dem API-Aufruf statt danach; die gemessenen
       Prompt-Groessen kalibrieren die Schaetzung je Modell.

Neu: tests/ClawdDotNet.App.Tests - fuer #375 und #376 gab es keinen Ort fuer
Tests. Dazu Regressionstests fuer jede Behebung; jeder wurde gegen den alten
Stand geprueft, damit belegt ist, dass er den Fehler faengt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tests/ClawdDotNet.Core.Tests/Security/SecretProtectorTests.cs

@@ -50,7 +50,7 @@ public sealed class SecretProtectorTests : IDisposable
 
         var protectedValue = SecretProtector.Protect(secret);
 
-        protectedValue.ShouldNotContain(secret);
+        protectedValue.ShouldNotBeNull().ShouldNotContain(secret);
         protectedValue.ShouldNotBe(secret);
     }
 
@@ -190,7 +190,14 @@ public sealed class SecretProtectorTests : IDisposable
         SecretProtector.Unprotect(second).ShouldBe("noch-geheimer");
     }
 
+    /// <summary>
+    /// <c>[LinuxFact]</c> hält den Test unter Windows an, der Plattform-Analysator sieht
+    /// das aber nicht — er kennt nur Attribute wie <c>SupportedOSPlatform</c>. Ohne die
+    /// Angabe blieb CA1416 als einzige Warnung im Build stehen, und eine einzelne
+    /// Warnung, die immer da ist, liest bald niemand mehr.
+    /// </summary>
     [LinuxFact]
+    [System.Runtime.Versioning.SupportedOSPlatform("linux")]
     public void Die_Schluesseldatei_ist_nur_fuer_den_Besitzer_lesbar()
     {
         SecretProtector.Protect("geheim");
@@ -207,7 +214,7 @@ public sealed class SecretProtectorTests : IDisposable
         var ex = Should.Throw<SecretProtectionException>(
             () => SecretProtector.Unprotect("enc:v1:" + Convert.ToBase64String([1, 2, 3, 4])));
 
-        ex.Message.ShouldContain("neu eingetragen");
+        ex.Message.ShouldNotBeNull().ShouldContain("neu eingetragen");
     }
 }
 
@@ -270,8 +277,8 @@ public sealed class ConfigSecretsTests : IDisposable
 
         ConfigSecrets.Protect(agent);
 
-        agent.Tools["Database"]["connectionString"]!.ToString().ShouldNotContain("geheim");
-        agent.Tools["Mail"]["password"]!.ToString().ShouldNotContain("mail-passwort");
+        agent.Tools["Database"]["connectionString"]!.ToString().ShouldNotBeNull().ShouldNotContain("geheim");
+        agent.Tools["Mail"]["password"]!.ToString().ShouldNotBeNull().ShouldNotContain("mail-passwort");
     }
 
     [Fact]
@@ -311,7 +318,7 @@ public sealed class ConfigSecretsTests : IDisposable
 
         ConfigSecrets.Protect(agent);
 
-        agent.Tools["Mail"]["password"]!.ToString().ShouldNotContain("geheim123");
+        agent.Tools["Mail"]["password"]!.ToString().ShouldNotBeNull().ShouldNotContain("geheim123");
         ConfigSecrets.Unprotect(agent);
         agent.Tools["Mail"]["password"].ShouldBe("geheim123");
     }