Security: OAuth-state, Verschlüsselung, Session-Timeout & weitere Härtung

- m365_callback.php: OAuth-state-Validierung gegen Login-CSRF
- includes/Crypto.php: Verschlüsselung-at-rest für UniFi-Passwörter
  (AES-256-GCM/libsodium) mit Klartext-Fallback für Bestandsinstallationen
- install.php: APP_KEY-Generierung + Reinstall nur mit Admin-Session
- Auth.php: absolutes Session-Timeout (SESSION_LIFETIME) durchsetzen
- index.php: CSRF + Throttle auch für anonyme öffentliche Voucher-Erstellung
- UniFiController.php: createVoucher liefert nicht mehr den falschen Code
  bei parallelen Erstellungen (note-Match statt blindes reset())
- display_errors in allen Entry-Points deaktiviert, log_errors aktiviert
- test.php & m365_debug.php hinter requireAdmin() (Info-Leak)
- m365_debug.php: abgeschnittene/kaputte Datei vervollständigt

includes/Auth.php

@@ -159,7 +159,19 @@ class Auth {
     
     // Prüfen ob eingeloggt
     public function isLoggedIn() {
-        return isset($_SESSION['user_id']) && isset($_SESSION['login_time']);
+        if (!isset($_SESSION['user_id']) || !isset($_SESSION['login_time'])) {
+            return false;
+        }
+
+        // Absolutes Session-Timeout durchsetzen (SESSION_LIFETIME aus config.php).
+        // Bisher wurde die Lebensdauer nie geprueft – Sessions liefen unbegrenzt.
+        $lifetime = defined('SESSION_LIFETIME') ? (int)SESSION_LIFETIME : 3600;
+        if ($lifetime > 0 && (time() - (int)$_SESSION['login_time']) > $lifetime) {
+            $this->logout();
+            return false;
+        }
+
+        return true;
     }
     
     // Prüfen ob Admin