fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

config/config.example.php

@@ -0,0 +1,61 @@
+<?php
+/**
+ * Deploymentcenter Configuration – VORLAGE
+ *
+ * Diese Datei nach config/config.php kopieren und ausfüllen.
+ * config/config.php ist per .gitignore vom Repository ausgeschlossen.
+ *
+ * Jeder Wert kann alternativ über eine Umgebungsvariable gesetzt werden
+ * (siehe dc_env() unten). Die Umgebungsvariable hat immer Vorrang.
+ */
+
+if (!function_exists('dc_env')) {
+    /**
+     * Liest eine Umgebungsvariable, fällt sonst auf den Standardwert zurück.
+     */
+    function dc_env(string $key, $default = null)
+    {
+        $val = getenv($key);
+        if ($val === false || $val === '') {
+            return $default;
+        }
+        return $val;
+    }
+}
+
+return [
+    'app' => [
+        'name'     => 'Deploymentcenter',
+        'version'  => '2.0.0',
+        'url'      => dc_env('DC_APP_URL', 'https://dc.example.com'),
+        'timezone' => 'Europe/Berlin',
+        // Bei true werden Exception-Texte in API-Antworten ausgegeben.
+        // Auf Produktivsystemen zwingend false lassen.
+        'debug'    => (bool)dc_env('DC_DEBUG', false),
+    ],
+    'db' => [
+        'host'     => dc_env('DC_DB_HOST', 'localhost'),
+        'dbname'   => dc_env('DC_DB_NAME', 'deploymentcenter'),
+        'username' => dc_env('DC_DB_USER', 'root'),
+        'password' => dc_env('DC_DB_PASS', ''),
+        'charset'  => 'utf8mb4',
+    ],
+    'security' => [
+        // Master-Key für Server-zu-Server-Aufrufe (Evaluator-Cron, Deactivate, Migration).
+        // Mit `openssl rand -hex 32` erzeugen.
+        'shared_key'   => dc_env('DC_SHARED_KEY', ''),
+        'session_name' => 'DC_SESSION_ID',
+        // Signaturschlüssel für ausgehende Webhooks (HMAC-SHA256).
+        'webhook_key'  => dc_env('DC_WEBHOOK_KEY', ''),
+        // Signaturschlüssel für Offline-Lizenzdateien (.lic).
+        'license_key'  => dc_env('DC_LICENSE_SIGNING_KEY', ''),
+    ],
+    'bugtracker' => [
+        // Projekt-Slug, unter dem das Deploymentcenter eigene Fehler meldet.
+        'self_project'   => 'deploymentcenter',
+        // Reports pro IP und Minute am öffentlichen Ingest-Endpunkt.
+        'report_rate'    => 60,
+        // Wie lange ein Agent ein Item exklusiv beansprucht (Minuten).
+        'lease_minutes'  => 30,
+    ],
+];