fix(guard): Zugangsschutz je Produkt abschaltbar, Dienst-Betrieb, Buildzeiten

Sieben Rueckmeldungen aus einer laufenden Integration. Der schwerwiegendste
Punkt ist ein Fehler von mir.

D2 - Predictalytics ist ausgesperrt. Bestaetigt: /releases/predictalytics/
antwortet mit 401, waehrend die API weiter "Update verfuegbar" meldet. Jede
ausgelieferte Installation laeuft damit in die Wand. Ursache ist nicht der
Schutz an sich, sondern dass ich ihn scharfgeschaltet habe, ohne zu pruefen,
ob die Verbraucher nachgezogen sind - genau der Fall, vor dem UPGRADE §16.1
warnt.
Behoben wird die Klasse des Problems, nicht nur dieser Fall: Produkte lassen
sich unter UpdateService -> Zugangsschutz einzeln ausnehmen. Damit ist der
gestaffelte Rollout moeglich, der bisher fehlte: ausnehmen, Build mit
Schluessel ausliefern, wieder einschalten. Ausgenommene Produkte sind in der
Uebersicht deutlich als AUSGENOMMEN markiert und faerben den Selbsttest nicht
gruen.

D5 - BuildInfo.targets verhinderte inkrementelle Builds. BuildDateUtc trug die
volle Uhrzeit, aenderte sich also bei jedem Build; WriteOnlyWhenDifferent griff
nie, und jedes einbindende Projekt wurde jedes Mal neu uebersetzt. Jetzt
tagesgenau. Das Commit-Datum waere stabiler, laesst sich aber nicht
verlaesslich holen - die Formatangabe von git log ueberlebt MSBuild und cmd.exe
nicht, wie ein Fehlversuch gezeigt hat.

D4 - LicenseConfig war uneinheitlich und fuer Dienste unbrauchbar.
SetStorageDirectory benutzte den Pfad roh, waehrend der Weg ueber die
Umgebungsvariable <slug>/license anhaengte: zwei Produkte im selben Prozess
schrieben in dieselbe state.dat. Und ohne $HOME - systemd User= ohne
Heimatverzeichnis - landete der Rueckfall im Installationsverzeichnis, unter
/opt nicht beschreibbar. Neu: einheitliches Anhaengen und ein Rueckfall auf
/var/lib/<slug>, der vorher prueft, ob dort ueberhaupt geschrieben werden kann.

D1 - Woher die Anwendung den Lizenzschluessel fuer den Update-Zugang nimmt,
stand nirgends zusammenhaengend. Jetzt ein Beispiel in UPDATESERVICE §5A, das
TryGetCachedKey und CheckForUpdateAsync verbindet.

D3 - Fuer einen laufenden systemd-Dienst gab es keinen Update-Weg. Neu:
SETUP §4A mit einer oneshot-Unit, die stoppt, aktualisiert und wieder startet -
ohne --restart, weil der Agent sonst an systemd vorbei einen zweiten Prozess
startet. Inklusive EnvironmentFile fuer den Schluessel und dem Hinweis auf die
Dateirechte nach einem Lauf als root.

D6 - Die Empfehlung Environment.Exit(1) passt fuer handelnde Systeme nicht. Ein
neuer Abschnitt im Lizenz-Leitfaden beschreibt den Sperrbetrieb: abschalten,
was neue Verpflichtungen eingeht; weiterlaufen lassen, was bestehende abwickelt.

D7 - Die Drosselungsgrenzen aller Endpunkte stehen jetzt in docs/README.md.
/api/errors/v1/report erlaubt 300 pro Minute, nicht 60; die Einstellung
bugtracker.error_rate fehlte in der Beispielkonfiguration. Der zweite Teil des
Befunds war veraltet: docs/README.md fuehrt die Release-Anleitung bereits.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/Modules/UpdateService/ReleaseGuard.php

@@ -147,6 +147,15 @@ final class ReleaseGuard
             return ['entries' => 0, 'error' => sprintf('Kein Schreibrecht in %s', $dir)];
         }
 
+        // Ausgenommene Produkte bleiben offen. Eine bestehende .htaccess muss
+        // dabei weg - sonst bliebe der Schutz stehen und die Ausnahme waere
+        // wirkungslos.
+        if (self::isExempt($db, $slug)) {
+            @unlink($dir . '/.htaccess');
+            @unlink($dir . '/.htpasswd');
+            return ['entries' => 0, 'error' => null];
+        }
+
         $entries = self::collectEntries($db, $slug);
 
         $lines = [];
@@ -335,6 +344,69 @@ final class ReleaseGuard
     /** Schluessel in dc_settings fuer das Format der erzeugten Dateien. */
     private const FORMAT_KEY = 'release_guard_format';
 
+    /** Schluessel in dc_settings fuer die ausgenommenen Produkte. */
+    private const EXEMPT_KEY = 'release_guard_exempt';
+
+    /**
+     * Produkte, die bewusst ohne Zugangsschutz ausgeliefert werden.
+     *
+     * Wozu das noetig ist: Der Schutz entsteht beim ersten Lauf nach dem
+     * Deployment von selbst - auch fuer Produkte, deren ausgelieferte
+     * Installationen noch mit einem SDK vor 2.4 gebaut sind. Die schicken
+     * keine Zugangsdaten und bekommen ab dem Moment 401 statt Updates.
+     * Genau das ist bei Predictalytics passiert.
+     *
+     * Ohne diese Liste bliebe nur, den Schutz global abzuschalten oder die
+     * Installationsbasis auszusperren. Mit ihr laesst sich je Produkt
+     * umschalten, sobald dessen Clients nachgezogen sind.
+     *
+     * @return list<string>
+     */
+    public static function exemptProjects(PDO $db): array
+    {
+        $raw = self::readSetting($db, self::EXEMPT_KEY);
+
+        if ($raw === null || trim($raw) === '') {
+            return [];
+        }
+
+        return array_values(array_filter(array_map(
+            static fn(string $s): string => strtolower(trim($s)),
+            explode(',', $raw)
+        ), static fn(string $s): bool => $s !== ''));
+    }
+
+    public static function isExempt(PDO $db, string $slug): bool
+    {
+        return in_array(strtolower(trim($slug)), self::exemptProjects($db), true);
+    }
+
+    /**
+     * Nimmt ein Produkt vom Schutz aus oder hebt die Ausnahme wieder auf.
+     * Die Dateien werden anschliessend neu erzeugt bzw. entfernt.
+     */
+    public static function setExempt(PDO $db, string $slug, bool $exempt): void
+    {
+        $slug = strtolower(trim($slug));
+        $list = self::exemptProjects($db);
+
+        if ($exempt) {
+            if (!in_array($slug, $list, true)) {
+                $list[] = $slug;
+            }
+        } else {
+            $list = array_values(array_filter($list, static fn(string $s): bool => $s !== $slug));
+        }
+
+        self::writeSetting($db, self::EXEMPT_KEY, implode(',', $list));
+
+        Logger::warning($exempt
+            ? 'Produkt vom Release-Zugangsschutz ausgenommen'
+            : 'Ausnahme vom Release-Zugangsschutz aufgehoben', ['product' => $slug]);
+
+        self::regenerateForProject($db, $slug);
+    }
+
     /**
      * Format der erzeugten .htpasswd. Bei einer Aenderung muessen alle Dateien
      * neu geschrieben werden, sonst passen Server und Client nicht mehr
@@ -408,6 +480,12 @@ final class ReleaseGuard
             }
             $seen[$product] = true;
 
+            // Ein bewusst ausgenommenes Produkt darf den Selbsttest nicht
+            // rot faerben - sonst gewoehnt man sich an einen roten Test.
+            if (self::isExempt($db, $product)) {
+                continue;
+            }
+
             $url = (string)$row['download_url'];
             $result['checked']++;
 
@@ -599,7 +677,7 @@ final class ReleaseGuard
      *
      * @return list<array<string,mixed>>
      */
-    public static function status(): array
+    public static function status(?PDO $db = null): array
     {
         $root = self::releasesRoot();
 
@@ -607,6 +685,7 @@ final class ReleaseGuard
             return [];
         }
 
+        $exempt = $db !== null ? self::exemptProjects($db) : [];
         $report = [];
 
         foreach (scandir($root) ?: [] as $entry) {
@@ -628,6 +707,7 @@ final class ReleaseGuard
             $report[] = [
                 'slug'       => $entry,
                 'protected'  => $protected,
+                'exempt'     => in_array(strtolower((string)$entry), $exempt, true),
                 'entries'    => $count,
                 'updated_at' => $protected ? gmdate('Y-m-d H:i:s', (int)filemtime($htpasswd)) : null,
                 'writable'   => is_writable($dir),