fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow

Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
  Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
  Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
  Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
  zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
  Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
  config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
  Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.

Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
  Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
  revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
  EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
  vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
  schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
  RateLimiter.

Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
  beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
  "up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
  tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
  damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
  als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.

Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
  damit bestehende Installationen keine Beispieldaten zurückbekommen.

Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
  selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
  Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
  resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.

WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.

Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/bootstrap.php

@@ -0,0 +1,88 @@
+<?php
+/**
+ * Deploymentcenter Bootstrap
+ *
+ * Einziger Einstiegspunkt fuer Autoloading, Konfiguration und Fehlerbehandlung.
+ * Jede Datei unter public/ bindet ausschliesslich diese Datei ein.
+ */
+
+declare(strict_types=1);
+
+if (defined('DC_BOOTSTRAPPED')) {
+    return;
+}
+define('DC_BOOTSTRAPPED', true);
+
+define('DC_ROOT', dirname(__DIR__));
+define('DC_SRC', DC_ROOT . '/src');
+define('DC_VAR', DC_ROOT . '/var');
+
+// --- PSR-4 Autoloader: Deploymentcenter\Foo\Bar -> src/Foo/Bar.php ---
+spl_autoload_register(static function (string $class): void {
+    $prefix = 'Deploymentcenter\\';
+    $len = strlen($prefix);
+    if (strncmp($class, $prefix, $len) !== 0) {
+        return;
+    }
+    $relative = substr($class, $len);
+    $path = DC_SRC . '/' . str_replace('\\', '/', $relative) . '.php';
+    if (is_file($path)) {
+        require_once $path;
+    }
+});
+
+// --- Konfiguration laden ---
+$dcConfigFile = DC_ROOT . '/config/config.php';
+if (!is_file($dcConfigFile)) {
+    http_response_code(500);
+    header('Content-Type: text/plain; charset=utf-8');
+    echo "Konfiguration fehlt.\n\n"
+       . "Bitte config/config.example.php nach config/config.php kopieren und ausfuellen.\n";
+    exit(1);
+}
+
+/** @var array $dcConfig */
+$dcConfig = require $dcConfigFile;
+if (!is_array($dcConfig)) {
+    http_response_code(500);
+    header('Content-Type: text/plain; charset=utf-8');
+    echo "config/config.php muss ein Array zurueckgeben.\n";
+    exit(1);
+}
+
+Deploymentcenter\Core\Config::load($dcConfig);
+
+date_default_timezone_set((string)Deploymentcenter\Core\Config::get('app.timezone', 'UTC'));
+
+// --- Fehleranzeige: niemals an den Client, immer ins Log ---
+$dcDebug = (bool)Deploymentcenter\Core\Config::get('app.debug', false);
+ini_set('display_errors', $dcDebug ? '1' : '0');
+ini_set('log_errors', '1');
+error_reporting(E_ALL);
+
+set_exception_handler(static function (\Throwable $e): void {
+    // Http::fail() protokolliert die Exception bereits - hier nur die
+    // Selbstmeldung in den eigenen Bugtracker anstossen.
+    Deploymentcenter\Core\ErrorReporter::report($e);
+
+    if (!headers_sent()) {
+        http_response_code(500);
+    }
+    Deploymentcenter\Core\Http::fail(500, 'internal_error', 'Interner Serverfehler.', $e);
+});
+
+register_shutdown_function(static function (): void {
+    $err = error_get_last();
+    if ($err === null) {
+        return;
+    }
+    if (!in_array($err['type'], [E_ERROR, E_PARSE, E_CORE_ERROR, E_COMPILE_ERROR, E_USER_ERROR], true)) {
+        return;
+    }
+    Deploymentcenter\Core\Logger::error(
+        sprintf('Fatal: %s in %s:%d', $err['message'], $err['file'], $err['line'])
+    );
+    Deploymentcenter\Core\ErrorReporter::reportFatal($err);
+});
+
+unset($dcConfigFile, $dcConfig, $dcDebug);