Befunde der Sicherheitspruefung abarbeiten

S1 (hoch): Die OIDC-Rueckkehr verknuepft eine Identitaet mit einem
bestehenden Konto nur bei bestaetigter E-Mail — geprueft wurde das auch,
nur war die Bestaetigung als `email_verified !== false` berechnet. Damit
galt auch ein fehlender Claim als bestaetigt, und genau den schicken
manche Anbieter gar nicht. Jetzt zaehlt allein ein ausdrueckliches `true`.

S2 (hoch): `isAuthEnabled()` verlangte den Wert "true"; alles andere hiess
"aus". Eine vergessene Variable ergab eine Anwendung, in der jeder
Besucher alles darf, und nichts sah danach aus. Umgedreht: Abgeschaltet
wird nur, wer ausdruecklich "false" setzt. Die Vorgaben in Compose und
.env.example stehen auf true, und der Container warnt beim Start
mehrzeilig, solange die Anmeldung aus ist.

S5 (mittel): Der OIDC-Bootstrap las `user.count()` und legte danach an —
zwei gleichzeitige erste Anmeldungen konnten beide Administrator werden.
Jetzt in einer serialisierbaren Transaktion, wie die lokale
Ersteinrichtung es laengst tut.

S6 (niedrig): Die Herkunftspruefung verglich nur den Host, nicht das
Schema. Das Schema kommt jetzt aus BASE_URL — die eine Angabe zum
Ursprung, ueber die der Aufrufer nicht mitbestimmt.

S3, S4 und S7 bleiben offen und stehen begruendet in docs/sicherheit.md.
Bei S3 wurde der naheliegende Ausweg geprueft und verworfen: Waehrend der
Sperre weiter Passwoerter zu pruefen kostet 128 MiB je Versuch und
tauschte eine Sperre gegen ein Konto gegen eine gegen alle.

Refs #20

.env.example

@@ -14,12 +14,15 @@ BASE_URL=http://localhost:3000
 APP_PORT=3000
 
 # Anmeldung mit Benutzern, Gruppen und Rollen.
-#   false — jeder, der die App erreicht, darf alles (Einzelplatz/LAN).
 #   true  — Anmeldung erforderlich. Beim ersten Aufruf legst du den ersten
-#           Administrator an.
+#           Administrator an. Das ist die Vorgabe, auch wenn die Zeile fehlt.
+#   false — jeder, der die App erreicht, darf alles: Verwaltung, Uploads,
+#           saemtliche Codes. Nur fuer Einzelplatz- oder LAN-Betrieb, und
+#           nur, wenn niemand Fremdes an den Rechner kommt. Der Container
+#           warnt beim Start deutlich, solange das so steht.
 # Bewusst hier und nicht in der Oberfläche: so kann man sich nicht aussperren.
-# Wer den Zugang verliert, setzt den Wert zurück auf false und startet neu.
-AUTH_ENABLED=false
+# Wer den Zugang verliert, setzt den Wert auf false und startet neu.
+AUTH_ENABLED=true
 
 # Groesste erlaubte Datei fuer die Typen "PDF" und "Bild", in Megabyte.
 # Die Dateien liegen in der Datenbank — wer die sichert, hat alles. Sehr