feat(security): Haertung nach OWASP Top 10 (#024)

Drei echte Luecken gefunden und geschlossen:

1. Die 27 Server Actions verliessen sich allein auf proxy.ts. Jede prueft die
   Sitzung jetzt selbst und schlaegt gegen die Datenbank nach, ob das Konto
   noch gilt - damit lassen sich Sitzungen ueberhaupt erst widerrufen.
2. Der Anmelde-Endpunkt prueft die Herkunft des Formulars; vorher war
   Login-CSRF moeglich.
3. Content-Security-Policy mit Nonce je Anfrage und strict-dynamic.

Dazu: npm audit ist ohne Befund (mysql2 und deepmerge-ts per overrides
angehoben statt Prisma zurueckzustufen), eine Benutzerverwaltung fuer die
Kommandozeile und docs/sicherheit.md mit allem, was bewusst offen bleibt -
keine Rollen, keine Zwei-Faktor-Anmeldung.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

src/server/auth/sitzungspflicht.ts

@@ -0,0 +1,44 @@
+import { cookies } from "next/headers";
+import { redirect } from "next/navigation";
+import { prisma } from "@/lib/db";
+import { type GeleseneSitzung, SITZUNGS_COOKIE, sitzungLesen } from "@/lib/sitzung";
+
+/**
+ * Verlangt eine gültige Sitzung und prüft sie gegen die Datenbank.
+ *
+ * `proxy.ts` hält Unangemeldete von den Seiten fern, aber Server Actions sind eigene
+ * Endpunkte: Jede Aktion prüft deshalb selbst, statt sich auf eine einzige Schicht zu
+ * verlassen (OWASP A01 – Broken Access Control).
+ *
+ * Zusätzlich wirkt hier der Widerruf: Ein gesperrtes Konto oder ein zurückgesetztes
+ * Passwort beendet laufende Sitzungen sofort, statt bis zum Ablauf des Tokens zu warten.
+ */
+/** Reines Urteil über eine gelesene Sitzung – ohne Next.js, damit es sich prüfen lässt. */
+export function sitzungBewerten(
+  sitzung: GeleseneSitzung | null,
+  benutzer: { aktiv: boolean; sitzungenUngueltigAb: Date | null } | null,
+): { gueltig: true } | { gueltig: false; grund: string } {
+  if (!sitzung) return { gueltig: false, grund: "Bitte anmelden." };
+  if (!benutzer) return { gueltig: false, grund: "Dieses Konto gibt es nicht mehr." };
+  if (!benutzer.aktiv) return { gueltig: false, grund: "Dieses Konto ist gesperrt." };
+  if (benutzer.sitzungenUngueltigAb && sitzung.ausgestelltAm <= benutzer.sitzungenUngueltigAb) {
+    return { gueltig: false, grund: "Die Sitzung wurde beendet. Bitte neu anmelden." };
+  }
+  return { gueltig: true };
+}
+
+export async function sitzungErforderlich(): Promise<GeleseneSitzung> {
+  const sitzung = await sitzungLesen((await cookies()).get(SITZUNGS_COOKIE)?.value);
+
+  const benutzer = sitzung
+    ? await prisma.benutzer.findUnique({
+        where: { id: sitzung.benutzerId },
+        select: { aktiv: true, sitzungenUngueltigAb: true },
+      })
+    : null;
+
+  const urteil = sitzungBewerten(sitzung, benutzer);
+  if (!urteil.gueltig) redirect(`/login?fehler=${encodeURIComponent(urteil.grund)}`);
+
+  return sitzung as GeleseneSitzung;
+}