3 Commits

Include renames

Author	SHA1	Message	Date
florian.wilde	32594c2dd8	Fix: Weiterleitungen übernehmen nicht mehr die Server-Bindung 0.0.0.0 ... Nach dem Abmelden landete man auf 0.0.0.0:3000, weil die absolute Redirect-URL aus request.url gebaut wurde und dort seit der Bindung an 0.0.0.0 die Server-Adresse statt des aufgerufenen Hosts steht. Logout leitet jetzt relativ weiter; der Proxy baut die URL aus dem Host-Header des Browsers (inkl. x-forwarded-proto hinter Proxies).	2026-07-17 23:53:12 +02:00
florian.wilde	7cac8cd4fc	Sicherheit: HTTP-Security-Header und Origin-Prüfung für schreibende Routen ... - X-Frame-Options/CSP frame-ancestors gegen Clickjacking, nosniff, Referrer-Policy, Permissions-Policy - Origin-Check als CSRF-Defense-in-Depth für /api/admin/users und /logout (zusätzlich zu SameSite=Lax-Cookies und JSON-Content-Type)	2026-07-17 18:21:22 +02:00
florian.wilde	d2bb39d815	Auth: Login mit E-Mail/Passwort und Passkey, Logout	2026-07-17 18:18:34 +02:00