feat(mcp): Ressourcen und Prompts fuer Claude Desktop, zwei Befunde behoben

MCP-ADAPTER 1.1

Werkzeuge ruft ein Modell von sich aus auf - Ressourcen und Prompts waehlt ein
MENSCH. In Claude Desktop sind das Anhang-Menue und Schraegstrich-Befehle, und
genau die fehlten.

  - Vier Ressourcen: dc://roadmap (fertiger Markdown-Block),
    dc://naechste-schritte, dc://projekte, dc://befunde.
  - Vier Prompts: arbeit-aufnehmen, befunde-sichten, fehler-melden,
    roadmap-pflegen. Ihr Wert liegt nicht in der gesparten Tipparbeit, sondern
    darin, dass die Hausregeln mitkommen - erst nachsehen wer dransitzt,
    Fremdmeldung nur mit Begruendung, Verworfenes nicht ohne neues Argument
    wiedervorschlagen. Bisher standen die nur in Werkzeugbeschreibungen, und
    die liest ein Modell erst, wenn es das Werkzeug schon gewaehlt hat.
  - DC_PROJECT: worauf die Ressourcen zeigen. Werkzeuge nehmen project_slug je
    Aufruf, Ressourcen haben keine Argumente.
  - Ressourcen laufen durch dieselbe Fremddaten-Abgrenzung wie
    Werkzeugergebnisse - sie sind eher ein Einfallstor, weil sie ungefragt im
    Kontext landen.
  - Einrichtung fuer claude_desktop_config.json dokumentiert.

  Behoben: "initialize" spiegelte die verlangte Protokollfassung zurueck. Ein
  Client, der 2025-06-18 anfragte, bekam sie bestaetigt, obwohl der Adapter
  fuer 2024-11-05 geschrieben war. Jetzt wird gegen eine Liste tatsaechlich
  bedienter Fassungen ausgehandelt.

  Behoben: process.exit() mitten in schliessenden libuv-Handles. Unter Windows
  eine Assertion und Rueckgabewert != 0 - ein sauber beendeter Server sah aus
  wie ein abgestuerzter.

ZWEI BEFUNDE, DIE ERST DIE RESSOURCEN ZUTAGE FOERDERTEN

  - roadmap.php?action=render lehnte fuer ein Werkbank-Token mit
    "missing_project" ab. projectFilter() laesst es beim Lesen bewusst durch
    (es soll die Landschaft sehen) und liefert null, also wurde der
    Projektbezug "all". Betroffen war ausgerechnet der Tokentyp, den der
    Adapter verlangt. Rueckfall ist jetzt das Heimatprojekt des Tokens.
  - ProjectLinks::between() benutzte :a dreimal, forProject() :slug zweimal.
    Bei ATTR_EMULATE_PREPARES = false unzulaessig -> HY093 und ein 500 auf
    /api/bugtracker/v1/projects. Derselbe Fehler wie einst in der
    Volltextsuche des Bugtrackers; ein Suchlauf ueber alle prepare()-Aufrufe
    der Codebasis fand keine weitere Stelle.

WARUM BEIDE UNBEMERKT BLIEBEN

Beide Wege laufen nur mit einem Werkbank-Token (owner_type = dev_agent). Der
Testlauf hatte keines - es gibt keine API, so eines anzulegen, und in der
Produktion geschieht das von Hand. Ein Tokentyp, den kein Testfall benutzt,
ist ein Tokentyp, dessen Sonderwege niemand prueft.

testctl.php kann jetzt action=workbench_token; vier Testfaelle decken die Wege
ab, samt Gegenprobe, dass der Rueckfall aufs Heimatprojekt das Lesen ueber alle
Projekte nicht einschraenkt. 128 Faelle, alle gruen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/bugtracker/v1/roadmap.php

@@ -88,7 +88,7 @@ switch ($action) {
         ]);
 
     case 'render': {
-        $project = requireProject($scope);
+        $project = requireProject($scope, $context);
         Http::ok([
             'project_slug' => $project,
             'markdown'     => $roadmap->renderBlock($project),
@@ -100,7 +100,7 @@ switch ($action) {
         // dass der Server ihn liest: Die Datei liegt im Repository des
         // Projekts, oft auf einer anderen Maschine. Der Server kennt sie nicht
         // und soll auch nicht anfangen, in Verzeichnissen zu suchen.
-        $project = requireProject($scope);
+        $project = requireProject($scope, $context);
         $content = Http::str('content');
 
         if ($content === null) {
@@ -218,7 +218,7 @@ switch ($action) {
     }
 
     case 'reorder': {
-        $project = requireProject($writeProject ?? $requested);
+        $project = requireProject($writeProject ?? $requested, $context);
         $epic    = Http::str('epic');
         $ids     = Http::input('ids');
 
@@ -235,7 +235,7 @@ switch ($action) {
     }
 
     case 'epic': {
-        $project = requireProject($writeProject ?? $requested);
+        $project = requireProject($writeProject ?? $requested, $context);
         $epic    = Http::str('epic');
         $title   = Http::str('title');
 
@@ -260,14 +260,28 @@ switch ($action) {
  *
  * "all" ist beim Lesen sinnvoll und beim Schreiben oder Erzeugen nicht - eine
  * Datei gehoert zu genau einem Repository.
+ *
+ * Der Rueckfall auf das Heimatprojekt ist nicht Bequemlichkeit, sondern
+ * behebt einen Widerspruch: Beim Lesen laesst projectFilter() ein
+ * Werkbank-Token bewusst durch (es soll die Landschaft sehen), liefert also
+ * null - und damit wurde $scope zu "all". Ausgerechnet der Tokentyp, den der
+ * MCP-Adapter verlangt, konnte seine eigene Roadmap nicht rendern.
+ *
+ * Das Token ist trotzdem an ein Projekt gebunden; diese Bindung liefert
+ * homeProject(). "Meine Roadmap" ohne Angabe heisst genau das.
  */
-function requireProject(?string $slug): string
+function requireProject(?string $slug, array $context = []): string
 {
-    if ($slug === null || $slug === '' || $slug === 'all') {
-        Http::fail(400, 'missing_project', 'Diese Aktion braucht ein konkretes "project_slug".');
+    if ($slug !== null && $slug !== '' && $slug !== 'all') {
+        return $slug;
     }
 
-    return $slug;
+    $home = ApiAuth::homeProject($context);
+    if ($home !== null) {
+        return $home;
+    }
+
+    Http::fail(400, 'missing_project', 'Diese Aktion braucht ein konkretes "project_slug".');
 }
 
 /**