fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/license/v1/index.php

@@ -1,79 +1,78 @@
 <?php
 
+/**
+ * Lizenz-API
+ *
+ *   POST /api/license/v1/validate    Lizenz und Hardware pruefen (oeffentlich)
+ *   POST /api/license/v1/deactivate  Aktivierung freigeben (authentifiziert)
+ *   GET  /api/license/v1/status      Verfuegbarkeitspruefung
+ */
+
 declare(strict_types=1);
 
-header('Content-Type: application/json; charset=utf-8');
-
-require_once __DIR__ . '/../../../../src/Core/Db.php';
-require_once __DIR__ . '/../../../../src/Core/Auth.php';
-require_once __DIR__ . '/../../../../src/Modules/License/Audit.php';
-require_once __DIR__ . '/../../../../src/Modules/License/KeyGen.php';
-require_once __DIR__ . '/../../../../src/Modules/License/RateLimiter.php';
-require_once __DIR__ . '/../../../../src/Modules/License/LicenseService.php';
+require_once __DIR__ . '/../../../../src/bootstrap.php';
 
+use Deploymentcenter\Core\ApiAuth;
 use Deploymentcenter\Core\Db;
-use Deploymentcenter\Core\Auth;
+use Deploymentcenter\Core\Http;
 use Deploymentcenter\Modules\License\LicenseService;
 use Deploymentcenter\Modules\License\RateLimiter;
 
-function sendResponse(array $data, int $statusCode = 200): void {
-    http_response_code($statusCode);
-    echo json_encode($data, JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE | JSON_PRETTY_PRINT);
-    exit;
+Http::beginJson(['GET', 'POST', 'OPTIONS'], true);
+
+$db = Db::init();
+
+$ip = Http::clientIp();
+$limiter = new RateLimiter($db, 120, 60, 'license');
+if (!$limiter->check($ip)) {
+    Http::fail(429, 'rate_limited', 'Zu viele Anfragen.');
 }
 
-try {
-    $config = require __DIR__ . '/../../../../config/config.php';
-    $pdo = Db::init($config);
+$service = new LicenseService($db);
+$action = resolveLicenseAction();
 
-    $limiter = new RateLimiter($pdo, 120, 60);
-    $ip = $_SERVER['REMOTE_ADDR'] ?? '127.0.0.1';
-    if (!$limiter->check($ip)) {
-        sendResponse(['error' => 'Too Many Requests', 'message' => 'Rate limit exceeded.'], 429);
-    }
+switch ($action) {
 
-    $uri = parse_url($_SERVER['REQUEST_URI'] ?? '/', PHP_URL_PATH);
-    $method = strtoupper($_SERVER['REQUEST_METHOD'] ?? 'GET');
-
-    $rawInput = file_get_contents('php://input');
-    $inputData = !empty($rawInput) ? (json_decode($rawInput, true) ?? []) : $_POST;
-
-    $licenseService = new LicenseService($pdo);
-
-    // Validate Endpoint (Public API for clients)
-    if (str_ends_with($uri, '/validate') && $method === 'POST') {
-        $res = $licenseService->validate($inputData, $ip);
-        sendResponse($res);
-    }
-
-    // Deactivate Endpoint (AUTHENTICATED ONLY - Security Protection)
-    if (str_ends_with($uri, '/deactivate') && $method === 'POST') {
-        $authHeader = $_SERVER['HTTP_X_WATCHDOG_KEY'] ?? $_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['HTTP_X_LICENSE_KEY'] ?? null;
-        if ($authHeader && str_starts_with($authHeader, 'Bearer ')) {
-            $authHeader = substr($authHeader, 7);
+    case 'validate':
+        if (Http::method() !== 'POST') {
+            Http::fail(405, 'method_not_allowed', 'Diese Aktion erwartet POST.');
         }
+        // Bewusst oeffentlich: Client-Anwendungen pruefen hier ihre Lizenz.
+        // Die Antwort verraet nichts ueber fremde Lizenzen.
+        Http::ok(['result' => $service->validate(Http::body(), $ip)]);
 
-        $sharedKey = $config['security']['shared_key'] ?? '';
-        $isAuthenticated = ($authHeader && hash_equals($sharedKey, $authHeader)) || Auth::isLoggedIn();
-
-        if (!$isAuthenticated) {
-            sendResponse([
-                'error' => 'Unauthorized',
-                'message' => 'Authentication required for license deactivation. Pass Bearer token or master key.'
-            ], 401);
+    case 'deactivate':
+        if (Http::method() !== 'POST') {
+            Http::fail(405, 'method_not_allowed', 'Diese Aktion erwartet POST.');
         }
+        ApiAuth::requireScope($db, 'license:deactivate');
+        Http::ok(['result' => $service->deactivate(Http::body(), $ip)]);
 
-        $res = $licenseService->deactivate($inputData, $ip);
-        sendResponse($res);
-    }
+    case 'status':
+        Http::ok(['module' => 'license', 'version' => '2.0']);
 
-    // Status Endpoint
-    if (str_ends_with($uri, '/status') && $method === 'GET') {
-        sendResponse(['status' => 'ok', 'module' => 'Lizenzen', 'version' => '1.0']);
+    default:
+        Http::fail(404, 'unknown_action', 'Endpunkt nicht gefunden.', null, [
+            'available' => ['validate', 'deactivate', 'status'],
+        ]);
+}
+
+function resolveLicenseAction(): string
+{
+    $explicit = Http::str('action');
+    if ($explicit !== null) {
+        return strtolower($explicit);
     }
+
+    $segments = array_values(array_filter(
+        explode('/', trim(Http::path(), '/')),
+        static fn(string $s): bool => $s !== ''
+    ));
 
-    sendResponse(['error' => 'Not Found', 'message' => 'Endpoint not found'], 404);
+    $last = strtolower((string)end($segments));
 
-} catch (Throwable $t) {
-    sendResponse(['error' => 'Server Error', 'message' => $t->getMessage()], 500);
+    return match ($last) {
+        'validate', 'deactivate', 'status' => $last,
+        default => 'status',
+    };
 }