fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/bugtracker/v1/projects.php

@@ -1,44 +1,57 @@
 <?php
 
+/**
+ * GET /api/bugtracker/v1/projects
+ *
+ * Projekt-Discovery fuer Agenten: welche Projekte gibt es, wie heissen ihre
+ * Slugs, wo liegt das Repository und wie viele Items sind offen.
+ *
+ * SICHERHEITSAENDERUNG: verlangt jetzt ein Token mit "bugtracker:read"
+ * (oder hoeher). Zuvor war die Projektliste oeffentlich abrufbar.
+ */
+
 declare(strict_types=1);
 
-require_once __DIR__ . '/../../../../src/Core/Db.php';
-require_once __DIR__ . '/../../../../src/Modules/Bugtracker/BugRepo.php';
+require_once __DIR__ . '/../../../../src/bootstrap.php';
 
+use Deploymentcenter\Core\ApiAuth;
 use Deploymentcenter\Core\Db;
+use Deploymentcenter\Core\Http;
 use Deploymentcenter\Modules\Bugtracker\BugRepo;
 
-header('Content-Type: application/json; charset=utf-8');
-header('Access-Control-Allow-Origin: *');
-header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Agent-Token');
-header('Access-Control-Allow-Methods: GET, OPTIONS');
+Http::beginJson(['GET', 'OPTIONS'], true);
 
-if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
-    http_response_code(200);
-    exit;
+if (Http::method() !== 'GET') {
+    Http::fail(405, 'method_not_allowed', 'Dieser Endpunkt erwartet GET.');
 }
 
-try {
-    $config = require __DIR__ . '/../../../../config/config.php';
-    $db = Db::connect($config['db']);
+$db = Db::init();
+$context = ApiAuth::requireScope($db, 'bugtracker:read');
 
-    $repo = new BugRepo($db);
-    $projects = $repo->getProjects();
+$repo = new BugRepo($db);
+$projects = $repo->getProjects();
 
-    echo json_encode([
-        'status'   => 'success',
-        'count'    => count($projects),
-        'projects' => array_map(function($p) {
-            return [
-                'id'       => (int)$p['id'],
-                'slug'     => $p['slug'],
-                'name'     => $p['name'],
-                'notes'    => $p['notes'] ?? null,
-            ];
-        }, $projects),
-    ], JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES);
-
-} catch (Throwable $t) {
-    http_response_code(500);
-    echo json_encode(['status' => 'error', 'message' => 'Failed to fetch projects: ' . $t->getMessage()]);
+// Ein projektgebundenes Token sieht nur sein eigenes Projekt.
+$bound = ApiAuth::projectFilter($context);
+if ($bound !== null) {
+    $projects = array_values(array_filter(
+        $projects,
+        static fn(array $p): bool => (string)$p['slug'] === $bound
+    ));
 }
+
+Http::ok([
+    'count'    => count($projects),
+    'projects' => array_map(static function (array $p): array {
+        return [
+            'id'             => (int)$p['id'],
+            'slug'           => (string)$p['slug'],
+            'name'           => (string)$p['name'],
+            'notes'          => $p['notes'] ?? null,
+            'repo_url'       => $p['repo_url'] ?? null,
+            'default_agent'  => $p['default_agent'] ?? null,
+            'open_items'     => (int)($p['open_items'] ?? 0),
+            'critical_items' => (int)($p['critical_items'] ?? 0),
+        ];
+    }, $projects),
+]);