feat(setup): Erstinstallation ueber den Update-Agent, Installationskonto, Downloads

Bisher gab es nur den Update-Weg: eine Anwendung musste bereits installiert und
eingerichtet sein, damit sich etwas aktualisieren liess. Die Erstinstallation
auf einem neuen System war Handarbeit - Paket kopieren, Konfiguration
abtippen, Token besorgen.

Setup-API (neu)
- POST /api/setup/v1/login tauscht Benutzername und Passwort gegen ein Token
  mit 30 Minuten Gueltigkeit und ausschliesslich setup:install. Es wird nicht
  mitgeschrieben und lebt im Installer nur im Speicher.
- GET /api/setup/v1/catalog zeigt nur, was zur Laufzeitkennung des anfragenden
  Systems passt. Ein Projekt mit ausschliesslich Windows-Paket taucht auf einem
  Linux-Rechner gar nicht erst auf.
- POST /api/setup/v1/token stellt das Dauertoken der Anwendung aus. Welche
  Rechte vergeben werden, entscheidet der Server; die Anfrage kann nur
  einschraenken. Sonst waere der Umweg ueber ein kurzlebiges Token wirkungslos.

Rollentrennung (Migration 012)
- dc_users bekommt role, disabled und last_login_at. Die Rolle "installer"
  darf sich ueber den Setup-Weg anmelden und nicht am WebUI. Die Zugangsdaten
  werden auf jedem Zielsystem eingetippt; mit einem Administratorkonto
  verteilte man damit den Zugang zu Tokens, Lizenzen und Monitoren auf jeden
  Rechner, auf dem je etwas installiert wurde.
- Auth::verifyCredentials() prueft sessionfrei, damit Setup- und WebUI-Login
  nicht zwei verschiedene Haertungsgrade haben (Drosselung, Timing-Angleichung,
  Rehash gelten fuer beide).
- Konten mit hinterlegtem TOTP-Geheimnis werden am Setup-Weg mit 501
  abgewiesen. Eine TOTP-Pruefung gibt es im Deploymentcenter noch nicht; sie
  stillschweigend zu uebergehen waere ein Rueckschritt.
- Benutzerverwaltung im WebUI - es gab bisher gar keine, nur den einen von
  install_db.php angelegten Admin. Das letzte aktive Administratorkonto laesst
  sich weder deaktivieren noch loeschen.

Installer
- update-agent --action install fuehrt durch Anmeldung, Auswahl,
  Zielverzeichnis, Installation und Einrichtung. Die Dateien kommen ueber
  denselben Pfad wie ein Update - mit Pruefsumme, Signatur, Staging und
  Rollback. Ein zweiter Download-Weg waere ein zweiter Ort fuer dieselben
  Fehler.
- --action configure holt die Einrichtung nachtraeglich.
- setup.json im Paket beschreibt die benoetigten Werte. Bewusst im Paket und
  nicht zentral: so ist sie mit der Anwendung versioniert.
- Gefragt wird nur, was uebrig bleibt: bereits gesetzt -> detect:... ->
  provision -> fragen. Platzhalter wie changeme oder <dein-wert> gelten dabei
  nicht als eingerichtet, sonst liefe die Anwendung mit der Vorlage los.
- SetupWriter erhaelt vorhandene Inhalte. Eine appsettings.json fuehrt neben
  den abgefragten Werten meist Logging und anderes; sie neu zu erzeugen waere
  bequemer und verloere das - bei einer Neuinstallation ohne Backup.
  int und bool landen als JSON-Typ, nicht als Zeichenkette.

Downloads
- scripts/build_installer.ps1 baut selbstenthaltende Einzeldateien fuer
  win-x64, linux-x64 und linux-arm64 (rund 34 MB, .NET-Laufzeit inbegriffen).
  Ohne NativeAOT und ohne Trimming: Spectre.Console loest ueber Reflexion auf
  und braeche sonst erst beim Anwender.
- scripts/upload_installer.py laedt sie nach /installer/. Getrennt von
  deploy.py, das client-dotnet bewusst ausklammert.
- Bereich "Installer" auf der UpdateService-Seite mit Groessen, Pruefsummen
  und den wget-Befehlen; die Angaben stammen aus installer.json statt aus fest
  eingetragenem Text.
- install.sh und install.ps1 laden, pruefen die Pruefsumme und legen ab -
  sie richten bewusst nichts selbst ein. Das Manifest wird BOM-frei
  geschrieben, sonst scheitert json_decode() daran.

Enthaelt ausserdem die bislang nicht committete Arbeit an den
RocketChat-Benachrichtigungen (Migrationen 010 und 011) sowie die Loesch- und
Editierfunktion des UpdateService; die betroffenen Dateien liessen sich nicht
getrennt stagen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

client-dotnet/Deploymentcenter.Client/Models/SetupDefinition.cs

@@ -0,0 +1,128 @@
+using System;
+using System.Collections.Generic;
+using System.Text.Json.Serialization;
+
+namespace Deploymentcenter.Client.Models
+{
+    /// <summary>
+    /// Beschreibt, was eine Anwendung zum Laufen braucht - als Datei
+    /// <c>setup.json</c> im Wurzelverzeichnis des Pakets, neben der
+    /// manifest.json.
+    ///
+    /// Bewusst im Paket und nicht zentral im Deploymentcenter: so ist die
+    /// Beschreibung mit der Anwendung versioniert. Braucht Version 2.0 ein
+    /// Feld mehr als 1.9, stimmt es automatisch - eine zweite Pflegestelle
+    /// wuerde frueher oder spaeter auseinanderlaufen.
+    ///
+    /// Fehlt die Datei, laesst sich die Anwendung trotzdem installieren; der
+    /// Installer entpackt sie dann nur und fragt nichts ab.
+    /// </summary>
+    public class SetupDefinition
+    {
+        /// <summary>Format-Version dieser Datei.</summary>
+        [JsonPropertyName("schema")]
+        public int Schema { get; set; } = 1;
+
+        /// <summary>Anzeigename, sonst wird der Projekt-Slug verwendet.</summary>
+        [JsonPropertyName("displayName")]
+        public string DisplayName { get; set; } = string.Empty;
+
+        /// <summary>Kurzer Hinweistext, der vor der Abfrage angezeigt wird.</summary>
+        [JsonPropertyName("description")]
+        public string Description { get; set; } = string.Empty;
+
+        /// <summary>Wohin die ermittelten Werte geschrieben werden.</summary>
+        [JsonPropertyName("targets")]
+        public List<SetupTarget> Targets { get; set; } = new List<SetupTarget>();
+
+        /// <summary>Die benoetigten Werte.</summary>
+        [JsonPropertyName("fields")]
+        public List<SetupField> Fields { get; set; } = new List<SetupField>();
+    }
+
+    /// <summary>Eine Datei, in die Werte geschrieben werden.</summary>
+    public class SetupTarget
+    {
+        /// <summary>Pfad relativ zum Installationsverzeichnis.</summary>
+        [JsonPropertyName("file")]
+        public string File { get; set; } = string.Empty;
+
+        /// <summary>"json" oder "env".</summary>
+        [JsonPropertyName("format")]
+        public string Format { get; set; } = "json";
+
+        /// <summary>
+        /// Kennung, ueber die Felder dieser Datei zugeordnet werden. Ohne
+        /// Angabe schreiben alle Felder in das erste Ziel.
+        /// </summary>
+        [JsonPropertyName("id")]
+        public string Id { get; set; } = string.Empty;
+    }
+
+    /// <summary>Ein einzelner Konfigurationswert.</summary>
+    public class SetupField
+    {
+        /// <summary>
+        /// Schluessel im Ziel. Bei JSON trennt ein Doppelpunkt die Ebenen
+        /// ("ConnectionStrings:Main"), passend zur Schreibweise von
+        /// Microsoft.Extensions.Configuration.
+        /// </summary>
+        [JsonPropertyName("key")]
+        public string Key { get; set; } = string.Empty;
+
+        /// <summary>Beschriftung fuer die Abfrage.</summary>
+        [JsonPropertyName("label")]
+        public string Label { get; set; } = string.Empty;
+
+        /// <summary>Erlaeuterung, die unter der Frage steht.</summary>
+        [JsonPropertyName("help")]
+        public string Help { get; set; } = string.Empty;
+
+        /// <summary>string | secret | url | int | bool | enum</summary>
+        [JsonPropertyName("type")]
+        public string Type { get; set; } = "string";
+
+        /// <summary>Muss ein Wert vorliegen?</summary>
+        [JsonPropertyName("required")]
+        public bool Required { get; set; } = true;
+
+        /// <summary>Vorbelegung.</summary>
+        [JsonPropertyName("default")]
+        public string Default { get; set; } = string.Empty;
+
+        /// <summary>
+        /// Woher der Wert kommt, wenn nicht gefragt werden soll:
+        ///   detect:hostname | detect:platform | detect:installdir | detect:username
+        ///   provision   - Token beim Deploymentcenter anfordern
+        ///   ask         - Vorgabe: nachfragen
+        /// </summary>
+        [JsonPropertyName("source")]
+        public string Source { get; set; } = "ask";
+
+        /// <summary>Rechte fuer source = provision.</summary>
+        [JsonPropertyName("scopes")]
+        public List<string> Scopes { get; set; } = new List<string>();
+
+        /// <summary>Auswahlmoeglichkeiten fuer type = enum.</summary>
+        [JsonPropertyName("options")]
+        public List<string> Options { get; set; } = new List<string>();
+
+        /// <summary>Regulaerer Ausdruck, gegen den der Wert geprueft wird.</summary>
+        [JsonPropertyName("validate")]
+        public string Validate { get; set; } = string.Empty;
+
+        /// <summary>Meldung, wenn die Pruefung fehlschlaegt.</summary>
+        [JsonPropertyName("validationMessage")]
+        public string ValidationMessage { get; set; } = string.Empty;
+
+        /// <summary>Kennung des Ziels aus <see cref="SetupTarget.Id"/>.</summary>
+        [JsonPropertyName("target")]
+        public string Target { get; set; } = string.Empty;
+
+        /// <summary>Wird der Wert verdeckt eingegeben und nicht angezeigt?</summary>
+        [JsonIgnore]
+        public bool IsSecret =>
+            string.Equals(Type, "secret", StringComparison.OrdinalIgnoreCase)
+            || string.Equals(Source, "provision", StringComparison.OrdinalIgnoreCase);
+    }
+}