fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/install_db.php

@@ -1,117 +1,153 @@
 <?php
 
+/**
+ * Datenbank-Migration.
+ *
+ * SICHERHEITSAENDERUNG - das hier war die gravierendste Luecke des Projekts:
+ * Diese Datei war ohne jede Authentifizierung erreichbar und setzte bei jedem
+ * Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurueck.
+ * Ein einziger Aufruf von aussen genuegte, um die Plattform zu uebernehmen.
+ *
+ * Jetzt gilt:
+ *  - Zugriff nur mit angemeldeter Sitzung oder Shared Key
+ *  - Kein Zuruecksetzen bestehender Passwoerter. Ein Administrator wird nur
+ *    angelegt, wenn ueberhaupt noch keiner existiert; das Passwort wird dann
+ *    zufaellig erzeugt und genau einmal angezeigt.
+ *  - Fehler werden nicht mehr mit Dateipfad und Zeilennummer ausgeliefert
+ *  - Migrationen laufen ueber den Migrator, der Statements korrekt zerlegt
+ *    und angewendete Versionen in dc_migrations vermerkt
+ *
+ * Aufruf per CLI ist ebenfalls moeglich:
+ *   php public/install_db.php
+ */
+
 declare(strict_types=1);
 
-error_reporting(E_ALL);
-ini_set('display_errors', '1');
-header('Content-Type: application/json; charset=utf-8');
+require_once __DIR__ . '/../src/bootstrap.php';
 
-try {
-    $config = require __DIR__ . '/../config/config.php';
-    $dbCfg = $config['db'];
+use Deploymentcenter\Core\ApiAuth;
+use Deploymentcenter\Core\Config;
+use Deploymentcenter\Core\Db;
+use Deploymentcenter\Core\Http;
+use Deploymentcenter\Core\Logger;
+use Deploymentcenter\Core\Migrator;
 
-    $dsn = sprintf('mysql:host=%s;dbname=%s;charset=%s', $dbCfg['host'], $dbCfg['dbname'], $dbCfg['charset']);
-    $pdo = new PDO($dsn, $dbCfg['username'], $dbCfg['password'], [
-        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
-        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
-    ]);
+$isCli = PHP_SAPI === 'cli';
 
-    $sqlFile = __DIR__ . '/../sql/schema.sql';
-    if (!file_exists($sqlFile)) {
-        echo json_encode(['status' => 'error', 'message' => 'schema.sql file not found']);
-        exit;
-    }
+if (!$isCli) {
+    Http::beginJson(['GET', 'POST', 'OPTIONS']);
+}
+
+$db = Db::init();
+
+// --- Zugriffsschutz ---
+if (!$isCli && ApiAuth::resolve($db, 'system:migrate') === null) {
+    Logger::warning('Migrationsversuch ohne Berechtigung', ['ip' => Http::clientIp()]);
+    Http::fail(
+        401,
+        'unauthorized',
+        'Migration nur fuer angemeldete Administratoren oder mit gueltigem Shared Key.'
+    );
+}
+
+// --- Migrationen ausfuehren ---
+$result = Migrator::migrate($db);
 
-    $rawSql = file_get_contents($sqlFile);
-
-    // Remove comments
-    $lines = explode("\n", $rawSql);
-    $cleanLines = [];
-    foreach ($lines as $line) {
-        $trimmed = trim($line);
-        if (str_starts_with($trimmed, '--') || str_starts_with($trimmed, '#')) {
-            continue;
-        }
-        $cleanLines[] = $line;
-    }
-    $cleanSql = implode("\n", $cleanLines);
+if ($result['failed'] !== null) {
+    Logger::error('Migration abgebrochen', $result['failed']);
 
-    // Split queries by semicolon
-    $queries = array_filter(array_map('trim', explode(';', $cleanSql)));
+    $payload = [
+        'applied' => $result['applied'],
+        'skipped' => $result['skipped'],
+        'failed'  => Config::isDebug()
+            ? $result['failed']
+            : ['version' => $result['failed']['version'], 'message' => 'Details stehen im Log unter var/log/.'],
+    ];
 
-    $executed = 0;
-    foreach ($queries as $q) {
-        if (!empty($q)) {
-            $pdo->exec($q);
-            $executed++;
-        }
+    if ($isCli) {
+        fwrite(STDERR, "Migration fehlgeschlagen:\n" . json_encode($payload, JSON_PRETTY_PRINT) . "\n");
+        exit(1);
     }
 
-    // Execute migration files in sql/migrations/
-    $migrationDir = __DIR__ . '/../sql/migrations';
-    if (is_dir($migrationDir)) {
-        $files = glob($migrationDir . '/*.sql');
-        sort($files);
-        foreach ($files as $mFile) {
-            $mSql = file_get_contents($mFile);
-            $mLines = explode("\n", $mSql);
-            $mClean = [];
-            foreach ($mLines as $l) {
-                $t = trim($l);
-                if (str_starts_with($t, '--') || str_starts_with($t, '#')) continue;
-                $mClean[] = $l;
-            }
-            $mQueries = array_filter(array_map('trim', explode(';', implode("\n", $mClean))));
-            foreach ($mQueries as $mq) {
-                if (!empty($mq)) {
-                    try {
-                        $pdo->exec($mq);
-                        $executed++;
-                    } catch (Throwable $e) {
-                        // Ignore harmless duplicate column / migration errors
-                    }
-                }
-            }
-        }
-    }
+    Http::fail(500, 'migration_failed', 'Die Migration wurde abgebrochen.', null, $payload);
+}
+
+// --- Administrator nur anlegen, wenn noch keiner existiert ---
+$adminNotice = null;
+$userCount = (int)$db->query('SELECT COUNT(*) FROM dc_users')->fetchColumn();
 
-    // Create / update Admin user: admin / Admin1337!
-    $adminUsername = 'admin';
-    $adminPassword = 'Admin1337!';
-    $passwordHash = password_hash($adminPassword, PASSWORD_ARGON2ID);
+if ($userCount === 0) {
+    $username = 'admin';
+    $password = generateInitialPassword();
 
-    $stmt = $pdo->prepare('
+    $stmt = $db->prepare('
         INSERT INTO dc_users (username, password_hash, created_at)
-        VALUES (:u, :p, NOW())
-        ON DUPLICATE KEY UPDATE password_hash = VALUES(password_hash)
+        VALUES (:username, :hash, UTC_TIMESTAMP())
     ');
-    $stmt->execute([':u' => $adminUsername, ':p' => $passwordHash]);
-
-    // Seed default endpoints setting in dc_settings
-    $endpoints = json_encode([
-        'validate' => '/api/license/v1/validate',
-        'deactivate' => '/api/license/v1/deactivate',
-    ]);
-    $stmtSet = $pdo->prepare('INSERT INTO dc_settings (skey, svalue) VALUES ("endpoints", :v) ON DUPLICATE KEY UPDATE svalue = VALUES(svalue)');
-    $stmtSet->execute([':v' => $endpoints]);
-
-    // Query created tables to verify
-    $tables = $pdo->query('SHOW TABLES')->fetchAll(PDO::FETCH_COLUMN);
-
-    echo json_encode([
-        'status' => 'success',
-        'message' => "Successfully executed {$executed} SQL statements!",
-        'created_user' => 'admin',
-        'tables_in_db' => $tables,
-        'timestamp' => date('Y-m-d H:i:s')
-    ], JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES);
-
-} catch (Throwable $t) {
-    http_response_code(500);
-    echo json_encode([
-        'status' => 'error',
-        'message' => $t->getMessage(),
-        'file' => $t->getFile(),
-        'line' => $t->getLine()
-    ], JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES);
+    $stmt->execute([':username' => $username, ':hash' => password_hash($password, PASSWORD_DEFAULT)]);
+
+    Logger::info('Initialer Administrator angelegt', ['username' => $username]);
+
+    $adminNotice = [
+        'username' => $username,
+        'password' => $password,
+        'warning'  => 'Dieses Passwort wird nur ein einziges Mal angezeigt. Bitte sofort notieren und nach der ersten Anmeldung aendern.',
+    ];
+} else {
+    $adminNotice = [
+        'message' => sprintf(
+            '%d Benutzerkonto(en) vorhanden - es wurde keines angelegt und keines veraendert.',
+            $userCount
+        ),
+    ];
+}
+
+// --- Standard-Endpunkte hinterlegen ---
+$endpoints = json_encode([
+    'validate'   => '/api/license/v1/validate',
+    'deactivate' => '/api/license/v1/deactivate',
+], JSON_UNESCAPED_SLASHES);
+
+$db->prepare('
+    INSERT INTO dc_settings (skey, svalue) VALUES ("endpoints", :value)
+    ON DUPLICATE KEY UPDATE svalue = VALUES(svalue)
+')->execute([':value' => $endpoints]);
+
+$tables = $db->query('SHOW TABLES')->fetchAll(PDO::FETCH_COLUMN) ?: [];
+
+$response = [
+    'applied'      => $result['applied'],
+    'skipped'      => $result['skipped'],
+    'tables'       => $tables,
+    'admin'        => $adminNotice,
+    'next_steps'   => [
+        'Cron einrichten: * * * * * curl -fsS -H "Authorization: Bearer <SHARED_KEY>" '
+            . Http::baseUrl() . '/api/watchdog/v1/evaluate > /dev/null',
+        'Master-Token im WebUI unter "Token-Verwaltung" erzeugen und an die Agenten verteilen.',
+    ],
+    'timestamp_utc' => gmdate('c'),
+];
+
+if ($isCli) {
+    echo json_encode($response, JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE), "\n";
+    exit(0);
+}
+
+Http::ok($response);
+
+/**
+ * Erzeugt ein gut lesbares, ausreichend starkes Initialpasswort.
+ * Zeichen, die sich leicht verwechseln lassen, sind ausgeschlossen.
+ */
+function generateInitialPassword(int $length = 20): string
+{
+    $alphabet = 'ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz23456789';
+    $max = strlen($alphabet) - 1;
+
+    $password = '';
+    for ($i = 0; $i < $length; $i++) {
+        $password .= $alphabet[random_int(0, $max)];
+    }
+
+    return $password;
 }