fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/tokens/v1/provision.php

@@ -1,77 +1,91 @@
 <?php
 
+/**
+ * POST /api/tokens/v1/provision
+ *
+ * Selbst-Provisionierung: Eine Client-Anwendung oder ein Agent tauscht ein
+ * langlebiges Master-Token gegen ein eigenes Sub-Token ein. Rechte und
+ * Umgebung koennen dabei nur eingeschraenkt, niemals erweitert werden.
+ *
+ * Das Master-Token wird per X-Master-Token oder Authorization: Bearer
+ * uebergeben. Die Uebergabe im Request-Body wird nicht mehr akzeptiert -
+ * Bodies landen haeufiger in Logs und Fehlermeldungen als Header.
+ */
+
 declare(strict_types=1);
 
-require_once __DIR__ . '/../../../../src/Core/Db.php';
-require_once __DIR__ . '/../../../../src/Core/TokenManager.php';
+require_once __DIR__ . '/../../../../src/bootstrap.php';
 
 use Deploymentcenter\Core\Db;
+use Deploymentcenter\Core\Http;
+use Deploymentcenter\Core\Logger;
 use Deploymentcenter\Core\TokenManager;
+use Deploymentcenter\Modules\License\RateLimiter;
 
-header('Content-Type: application/json; charset=utf-8');
+Http::beginJson(['POST', 'OPTIONS'], true);
 
-if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
-    http_response_code(405);
-    echo json_encode(['status' => 'error', 'message' => 'Method Not Allowed']);
-    exit;
+if (Http::method() !== 'POST') {
+    Http::fail(405, 'method_not_allowed', 'Dieser Endpunkt erwartet POST.');
 }
 
-// Extract Master Token from Headers
-$headers = getallheaders();
-$masterToken = $headers['X-Master-Token'] ?? $headers['x-master-token'] ?? null;
+$db = Db::init();
 
-if (!$masterToken && !empty($headers['Authorization'])) {
-    if (preg_match('/Bearer\s+(.+)/i', $headers['Authorization'], $matches)) {
-        $masterToken = trim($matches[1]);
-    }
+// Provisionierung ist selten - eine enge Drosselung verhindert das
+// Durchprobieren von Master-Tokens.
+$limiter = new RateLimiter($db, 20, 60, 'token_provision');
+if (!$limiter->check(Http::clientIp())) {
+    Http::fail(429, 'rate_limited', 'Zu viele Provisionierungsversuche.');
 }
 
-$rawInput = file_get_contents('php://input');
-$data = json_decode($rawInput, true) ?: $_POST;
-
-if (!$masterToken && !empty($data['master_token'])) {
-    $masterToken = trim($data['master_token']);
+$masterToken = Http::bearerToken();
+if ($masterToken === null) {
+    Http::fail(
+        401,
+        'missing_master_token',
+        'Master-Token fehlt. Erwartet im Header X-Master-Token oder als Authorization: Bearer <token>.'
+    );
 }
 
-if (!$masterToken) {
-    http_response_code(401);
-    echo json_encode(['status' => 'error', 'message' => 'Missing Master Token in X-Master-Token header or Authorization Bearer header']);
-    exit;
+$data = Http::body();
+
+$name = Http::str('client_name') ?? Http::str('name') ?? 'Auto-provisioniertes Sub-Token';
+$instanceIdentity = Http::str('instance_id') ?? Http::str('hostname');
+$environment = Http::str('environment') ?? 'all';
+
+$requestedScopes = $data['scopes'] ?? [];
+if (is_string($requestedScopes)) {
+    $requestedScopes = array_map('trim', explode(',', $requestedScopes));
 }
+if (!is_array($requestedScopes)) {
+    $requestedScopes = [];
+}
+
+$manager = new TokenManager($db);
 
 try {
-    $config = require __DIR__ . '/../../../../config/config.php';
-    $db = Db::connect($config['db']);
-    $tokenMgr = new TokenManager($db);
-
-    $name = !empty($data['client_name']) ? trim($data['client_name']) : (!empty($data['name']) ? trim($data['name']) : 'Auto-Provisioned Agent Sub-Token');
-    $instanceIdentity = !empty($data['instance_id']) ? trim($data['instance_id']) : (!empty($data['hostname']) ? trim($data['hostname']) : null);
-    $requestedScopes = isset($data['scopes']) && is_array($data['scopes']) ? $data['scopes'] : [];
-    $environment = !empty($data['environment']) ? trim($data['environment']) : 'all';
-
-    $subTokenData = $tokenMgr->provisionSubToken(
+    $subToken = $manager->provisionSubToken(
         $masterToken,
         $name,
         $instanceIdentity,
         $requestedScopes,
         $environment
     );
-
-    echo json_encode([
-        'status'       => 'success',
-        'sub_token'    => $subTokenData['raw_token'],
-        'token_id'     => $subTokenData['token_id'],
-        'name'         => $subTokenData['name'],
-        'scopes'       => $subTokenData['scopes'],
-        'environment'  => $subTokenData['environment'],
-        'type'         => 'sub',
-        'created_at'   => date('Y-m-d H:i:s'),
-    ], JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES);
-
 } catch (InvalidArgumentException $e) {
-    http_response_code(400);
-    echo json_encode(['status' => 'error', 'message' => $e->getMessage()]);
-} catch (Throwable $t) {
-    http_response_code(500);
-    echo json_encode(['status' => 'error', 'message' => 'Internal server error: ' . $t->getMessage()]);
+    Logger::warning('Provisionierung abgelehnt', [
+        'ip'     => Http::clientIp(),
+        'reason' => $e->getMessage(),
+    ]);
+    Http::fail(403, 'provision_denied', $e->getMessage());
 }
+
+Http::ok([
+    'sub_token'   => $subToken['raw_token'],
+    'token_id'    => $subToken['token_id'],
+    'name'        => $subToken['name'],
+    'scopes'      => $subToken['scopes'],
+    'environment' => $subToken['environment'],
+    'expires_at'  => $subToken['expires_at'],
+    'type'        => 'sub',
+    'created_at'  => gmdate('Y-m-d H:i:s'),
+    'message'     => 'Sub-Token erstellt. Der Wert wird nur einmal ausgeliefert - bitte sicher speichern.',
+], 201);