fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/login.php

@@ -2,11 +2,13 @@
 
 declare(strict_types=1);
 
-require_once __DIR__ . '/../src/Core/Db.php';
-require_once __DIR__ . '/../src/Core/Auth.php';
+require_once __DIR__ . '/../src/bootstrap.php';
 
-use Deploymentcenter\Core\Db;
 use Deploymentcenter\Core\Auth;
+use Deploymentcenter\Core\Csrf;
+use Deploymentcenter\Core\Db;
+use Deploymentcenter\Core\Http;
+use Deploymentcenter\Core\Logger;
 
 Auth::startSession();
 
@@ -18,25 +20,38 @@ if (Auth::isLoggedIn()) {
 $error = null;
 
 if ($_SERVER['REQUEST_METHOD'] === 'POST') {
-    $username = trim($_POST['username'] ?? '');
-    $password = trim($_POST['password'] ?? '');
+    $username = trim((string)($_POST['username'] ?? ''));
+    $password = (string)($_POST['password'] ?? '');
 
-    if (!empty($username) && !empty($password)) {
+    // CSRF-Schutz auch am Login: verhindert erzwungene Fremdanmeldungen.
+    if (!Csrf::isValid(is_string($_POST['csrf_token'] ?? null) ? $_POST['csrf_token'] : null)) {
+        $error = 'Sitzung abgelaufen. Bitte erneut versuchen.';
+    } elseif ($username === '' || $password === '') {
+        $error = 'Bitte fuellen Sie alle Felder aus.';
+    } else {
         try {
-            $config = require __DIR__ . '/../config/config.php';
-            $pdo = Db::init($config);
+            $pdo = Db::init();
+            $lockoutSeconds = Auth::lockoutSeconds($pdo, Http::clientIp());
 
-            if (Auth::login($pdo, $username, $password)) {
+            if ($lockoutSeconds > 0) {
+                $error = sprintf(
+                    'Zu viele fehlgeschlagene Anmeldeversuche. Bitte in %d Minute(n) erneut versuchen.',
+                    (int)ceil($lockoutSeconds / 60)
+                );
+            } elseif (Auth::login($pdo, $username, $password)) {
                 header('Location: /index.php');
                 exit;
             } else {
-                $error = 'Ungültige Anmeldedaten. Bitte überprüfen Sie Benutzername und Passwort.';
+                // Bewusst dieselbe Meldung fuer falschen Benutzer und falsches
+                // Passwort - sonst laesst sich herausfinden, welche Konten es gibt.
+                $error = 'Ungueltige Anmeldedaten.';
             }
         } catch (\Throwable $e) {
-            $error = 'Datenbankverbindung fehlgeschlagen: ' . $e->getMessage();
+            // Die urspruengliche Fassung gab hier die rohe PDO-Meldung samt
+            // Hostname und Benutzernamen an jeden anonymen Besucher aus.
+            Logger::error('Anmeldung fehlgeschlagen (technischer Fehler)', ['error' => $e->getMessage()]);
+            $error = 'Anmeldung derzeit nicht moeglich. Bitte spaeter erneut versuchen.';
         }
-    } else {
-        $error = 'Bitte füllen Sie alle Felder aus.';
     }
 }
 ?>
@@ -228,6 +243,7 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
         <?php endif; ?>
 
         <form method="POST" action="login.php">
+            <?= Csrf::field() ?>
             <div class="form-group">
                 <label for="username" class="form-label">Benutzername</label>
                 <input type="text" id="username" name="username" class="form-control" required autofocus placeholder="z. B. admin">