fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/health.php

@@ -0,0 +1,118 @@
+<?php
+
+/**
+ * GET /api/health
+ *
+ * Verfuegbarkeitspruefung fuer Monitoring und Agenten.
+ *
+ * Ohne Authentifizierung wird nur der Gesamtzustand gemeldet. Mit gueltigem
+ * Token, Shared Key oder angemeldeter Sitzung kommen Schema-Version,
+ * ausstehende Migrationen und Kennzahlen dazu.
+ */
+
+declare(strict_types=1);
+
+require_once __DIR__ . '/../../src/bootstrap.php';
+
+use Deploymentcenter\Core\ApiAuth;
+use Deploymentcenter\Core\Config;
+use Deploymentcenter\Core\Db;
+use Deploymentcenter\Core\Http;
+use Deploymentcenter\Core\Logger;
+use Deploymentcenter\Core\Migrator;
+use Deploymentcenter\Modules\Bugtracker\BugRepo;
+
+Http::beginJson(['GET', 'OPTIONS'], true);
+
+$checks = [];
+$healthy = true;
+
+// --- Datenbank ---
+$db = null;
+try {
+    $started = microtime(true);
+    $db = Db::init();
+    $db->query('SELECT 1')->fetchColumn();
+    $checks['database'] = [
+        'ok'         => true,
+        'latency_ms' => (int)round((microtime(true) - $started) * 1000),
+    ];
+} catch (Throwable $e) {
+    Logger::error('Health-Check: Datenbank nicht erreichbar', ['error' => $e->getMessage()]);
+    $checks['database'] = ['ok' => false, 'error' => 'nicht erreichbar'];
+    $healthy = false;
+}
+
+// --- Schreibbarkeit des Log-Verzeichnisses ---
+$logDir = DC_VAR . '/log';
+$checks['log_writable'] = ['ok' => is_dir($logDir) ? is_writable($logDir) : is_writable(DC_ROOT)];
+
+$response = [
+    'healthy'   => $healthy,
+    'app'       => Config::get('app.name', 'Deploymentcenter'),
+    'version'   => Config::get('app.version', 'unknown'),
+    'time_utc'  => gmdate('c'),
+    'checks'    => $checks,
+];
+
+// --- Detailinformationen nur fuer Authentifizierte ---
+if ($db !== null && ApiAuth::resolve($db, 'bugtracker:read') !== null) {
+    try {
+        $status = Migrator::status($db);
+        $response['schema'] = [
+            'applied_count' => count($status['applied']),
+            'pending'       => $status['pending'],
+        ];
+
+        if ($status['pending'] !== []) {
+            $response['healthy'] = false;
+            $response['checks']['migrations'] = [
+                'ok'      => false,
+                'message' => 'Ausstehende Migrationen: ' . implode(', ', $status['pending']),
+            ];
+        } else {
+            $response['checks']['migrations'] = ['ok' => true];
+        }
+
+        $repo = new BugRepo($db);
+        $response['bugtracker'] = $repo->getStats();
+
+        $monitors = $db->query('
+            SELECT state, COUNT(*) AS total
+            FROM watchdog_monitors
+            GROUP BY state
+        ')->fetchAll() ?: [];
+
+        $byState = [];
+        foreach ($monitors as $row) {
+            $byState[(string)$row['state']] = (int)$row['total'];
+        }
+        $response['watchdog'] = ['monitors_by_state' => $byState];
+
+        $lastRun = $db->query("
+            SELECT last_run_utc FROM watchdog_cron_jobs WHERE name = 'evaluator'
+        ")->fetchColumn();
+
+        $response['watchdog']['evaluator_last_run_utc'] = $lastRun !== false ? $lastRun : null;
+
+        // Laeuft der Evaluator nicht, sind alle Monitor-Zustaende wertlos.
+        if ($lastRun === false || $lastRun === null) {
+            $response['checks']['evaluator'] = [
+                'ok'      => false,
+                'message' => 'Der Evaluator lief noch nie. Cron-Job auf /api/watchdog/v1/evaluate einrichten.',
+            ];
+        } else {
+            $age = time() - (int)strtotime((string)$lastRun . ' UTC');
+            $response['checks']['evaluator'] = [
+                'ok'          => $age < 900,
+                'age_seconds' => $age,
+                'message'     => $age < 900 ? null : 'Letzter Lauf liegt zu lange zurueck.',
+            ];
+        }
+    } catch (Throwable $e) {
+        Logger::warning('Health-Check: Detailabfrage fehlgeschlagen', ['error' => $e->getMessage()]);
+        $response['detail_error'] = 'Detailinformationen konnten nicht ermittelt werden.';
+    }
+}
+
+Http::ok($response, $response['healthy'] ? 200 : 503);