fix(2.8.1): Sechs Befunde, eine Bauart - die Voreinstellung, die einsprang

Drei Agenten haben von aussen gemeldet, und fast jeder Befund hat dieselbe
Form: Irgendwo sprang ein Vorgabewert ein, obwohl die richtige Antwort
bekannt war - meist das Projekt, an das der Aufrufer ohnehin gebunden ist.

#351  manage?action=next antwortete durchgaengig mit HTTP 500. In
      BugRepo::buildFilter() stand :project_scope zweimal in derselben
      Anweisung; mit ATTR_EMULATE_PREPARES=false bindet PDO jeden Namen
      genau einmal - zwei Marker, ein Wert, SQLSTATE[HY093]. Getroffen war
      nur "next", weil nur dort der Rueckkanal-Filter gesetzt wird. Damit
      gab es keine exklusive Uebernahme. Es ist der VIERTE Fall dieser
      Bauart, deshalb prueft scripts/pruefe_platzhalter.py das jetzt
      mechanisch vor jedem Ausliefern.

#382  Meldungen ohne project_slug landeten im Scheinprojekt "default" -
#387  ohne dc_projects-Zeile, also project_id NULL. Die Antwort sah wie ein
#397  Erfolg aus, und danach sperrte dieselbe Token-Bindung den Zugriff
      (403 project_forbidden). Der Rueckfall aufs Heimatprojekt war an
      !isWorkbench gebunden; ein Werkbank-Token ohne Slug bekam gar keinen
      Vorgabewert. Jetzt: genannter Slug, sonst Heimatprojekt, sonst 400.
      Ein unbekanntes Projekt wird abgewiesen statt still angelegt.

#364  Ohne project_slug lieferten list, stats und die Roadmap ALLE
#176  Projekte statt des eigenen, weil die Vorgabe auf "all" stand und ein
      Werkbank-Token beim Lesen absichtlich nicht unter die Schranke faellt.
      Gemessen: 393 Items, davon 28 eigene. Ausgerechnet der erste Aufruf
      jeder Sitzung. Die Roadmap antwortet ausserdem schmal - 55 Felder je
      Eintrag waren 628.392 Zeichen und fuellten das Kontextfenster.

#404  Watchdog-Monitore bekamen nie ein Projekt: upsertHeartbeat() wurde
      keines uebergeben, obwohl authorizeSource() die Token-Bindung liest.
      Befunde erbten dadurch "default" - dc_findings(project_slug=...) war
      fuer eine laufende, meldende Instanz leer.

#131  Wo der Leseweg richtig verengte, sagte er es nicht: HTTP 200 mit dem
      umgeschriebenen Filter sieht aus wie eine Auskunft ueber das
      angefragte Projekt. Ein Agent, der vor dem Melden dc_search fragt,
      legt so das Duplikat an. Jetzt scoped_to und scope_note im Umschlag -
      nur bei tatsaechlicher Verengung.

#354  dc-testkit 1.1.0 wurde zweimal mit verschiedenem Inhalt ausgeliefert
      (1898 und 1930 Zeilen), 1.0.0 davor ebenso. Der Absatz ueber
      DC_TESTKIT_VERSION stand die ganze Zeit im Skript und hat nicht
      getragen. Jetzt 1.1.1 plus ein Riegel in deploy.py, der abbricht,
      wenn sich der Inhalt aendert und die Nummer nicht.

Warum die Testsuite all das nicht sah: Ihr Master-Token ist an kein Projekt
gebunden und nimmt deshalb ueberall den anderen Zweig. Es gab sogar einen
Testfall fuer action=next - er lief gruen, waehrend der Aufruf in der Praxis
ausnahmslos scheiterte. Die neuen Faelle benutzen ausdruecklich
projektgebundene Token; testctl kann dafuer jetzt owner_type und scopes
waehlen.

Ausserdem: Die Agentenvorlage nennt fuer die SDK-Fassung dc_link_project
statt einer abgeschriebenen Zahl - "SDK 2.5.1" stand dort als Beispiel und
wurde als Wert uebernommen.

Nicht enthalten: die 20 Altlasten in "default". Sie sind ueber die API nicht
erreichbar; sql/wartung/2026-08-31_default-projekt-aufraeumen.sql liegt dafuer
bereit (alle 20 haben einen titelgleichen Zwilling im richtigen Projekt).

156 e2e-Faelle gruen, davon 9 neue.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/watchdog/v1/index.php

@@ -59,11 +59,21 @@ switch ($action) {
             Http::fail(400, 'missing_source', 'Das Feld "source" wird benoetigt.');
         }
 
-        authorizeSource($db, $source);
+        $pingKontext = authorizeSource($db, $source);
 
         $instance = Http::str('instance') ?? 'default';
         $metrics  = Http::input('metrics');
 
+        // Das Projekt kommt aus der Token-Bindung, nicht aus dem Body - wie
+        // bei report.php. Ein Monitor soll nicht behaupten koennen, zu einem
+        // fremden Projekt zu gehoeren.
+        //
+        // null bleibt es nur bei einem ungebundenen Zugang (Shared Key,
+        // Session oder ein Alt-Token aus watchdog_agent_tokens). Dann
+        // ueberschreibt der Ping eine frueher bekannte Zuordnung nicht,
+        // sondern laesst sie stehen - siehe COALESCE in upsertHeartbeat().
+        $pingProjekt = $pingKontext !== null ? ApiAuth::homeProject($pingKontext) : null;
+
         $monitor = $monitorRepo->upsertHeartbeat(
             $source,
             $instance,
@@ -78,7 +88,8 @@ switch ($action) {
             Http::input('checks'),
             // Welche Version laeuft hier? Optional - bestehende Agenten
             // schicken das Feld nicht und laufen unveraendert weiter.
-            Http::str('version') ?? Http::str('app_version')
+            Http::str('version') ?? Http::str('app_version'),
+            $pingProjekt
         );
 
         // Numerische Werte in den Verlauf uebernehmen, damit sich Trends
@@ -110,6 +121,11 @@ switch ($action) {
                 'last_status'    => $monitor['last_status'],
                 'last_seen_utc'  => $monitor['last_seen_utc'],
                 'app_version'    => $monitor['app_version'] ?? null,
+                // Wohin dieser Monitor gehoert. Steht hier null, erben seine
+                // Befunde das Scheinprojekt "default" und sind unter dem
+                // eigenen Projekt nicht auffindbar - der Melder soll das an
+                // der Antwort sehen und nicht erst am ausbleibenden Befund.
+                'project_slug'   => $monitor['project_slug'] ?? null,
                 'state_changed'  => (bool)($monitor['_state_changed'] ?? false),
                 'failing_checks' => $monitor['_failing_checks'] ?? [],
             ],
@@ -219,16 +235,29 @@ function requirePost(): void
 }
 
 /**
- * Prueft die Berechtigung, fuer eine bestimmte Source zu melden.
+ * Prueft die Berechtigung, fuer eine bestimmte Source zu melden, und LIEFERT
+ * DEN KONTEXT ZURUECK.
  *
  * Akzeptiert zentrale Tokens (dc_tokens, Scope watchdog:ping) und die
  * aelteren, an eine Source gebundenen Agent-Tokens.
+ *
+ * Die Rueckgabe ist neu: Vorher gab die Funktion void zurueck und warf den
+ * Kontext weg - samt der Projektbindung des Tokens.
+ * Genau die fehlte danach beim Anlegen des Monitors, und die Befunde landeten
+ * im Scheinprojekt "default" (#404). Die Angabe wurde also gelesen und
+ * anschliessend fallengelassen.
+ *
+ * null heisst "berechtigt, aber ohne Kontext": ein Alt-Token aus
+ * watchdog_agent_tokens. Diese Token kennen kein Projekt.
+ *
+ * @return ?array Kontext aus ApiAuth::resolve(), oder null bei einem Alt-Token.
  */
-function authorizeSource(PDO $db, string $source): void
+function authorizeSource(PDO $db, string $source): ?array
 {
     // Zentrale Token-Hierarchie, Shared Key oder Session
-    if (ApiAuth::resolve($db, 'watchdog:ping', null, true) !== null) {
-        return;
+    $context = ApiAuth::resolve($db, 'watchdog:ping', null, true);
+    if ($context !== null) {
+        return $context;
     }
 
     // Alt-Tokens aus watchdog_agent_tokens
@@ -236,7 +265,7 @@ function authorizeSource(PDO $db, string $source): void
     if ($presented !== null) {
         $legacy = new LegacyTokenManager($db);
         if ($legacy->validateToken($presented, $source)) {
-            return;
+            return null;
         }
     }