Security-, Bugfix- und UX-Überarbeitung auf Basis des Code-Reviews

Sicherheit:
- Bulk-Erstellung serverseitig auf eingeloggte Nutzer beschränkt;
  expire_minutes wird validiert (anonym: nur Default/Template-Werte,
  eingeloggt: max. 1 Jahr)
- IP-basiertes Rate-Limit über neue Tabelle request_throttle
  (Voucher-Erstellung + Passwort-Reset-Anfragen), Session-Fallback
  für Alt-Installationen; Migration 0002
- session_regenerate_id() nach Login, Secure-Cookie-Flag bei HTTPS
- Admin-/Aktiv-Status wird pro Request live aus der DB geprüft
  (Rechteentzug & Deaktivierung wirken sofort); Schutz vor
  Selbst-Degradierung im Benutzer-Edit
- Alle state-ändernden Admin-Aktionen von GET auf POST umgestellt
  (kein CSRF-Token mehr in URLs)
- login_simple.php (Legacy, Debug-Leak) entfernt; cron_test.php nur
  noch für Admins; .htaccess auf Apache-2.4-Syntax inkl. cron_test.php
- M365 Client Secret wird nicht mehr ins Formular zurückgegeben
- Updater: Zip-Slip-/Pfad-Traversal-Schutz, Backup vor dem Anwenden
  mit automatischem Rollback bei Fehlern, AuditLogger-Bug behoben
- cron_sync: Token-Vergleich mit hash_equals; login_attempts-Pruning
- CSV-Export gegen Excel-Formula-Injection abgesichert

Bugfixes:
- M365-Login: Fallback auf userPrincipalName, wenn Graph kein 'mail'
  liefert (Nutzer ohne Exchange-Postfach konnten sich nie anmelden)
- PRG-Pattern überall: F5 erzeugt keine Duplikat-Voucher und
  wiederholt keine Admin-Aktionen (Session-Flash-Messages)
- QR-Code nicht mehr invertiert (schwarz auf weiß, scanbar)
- Bulk-Erstellung nutzt den UniFi 'n'-Parameter: 1 API-Call statt
  n× Login + Voucherlisten-Abruf; exaktes Code-Matching per
  create_time statt "global neuester Voucher"
- Mailer: doppelte Zeilenumbrüche behoben, AUTH nur mit Credentials,
  SMTP-Dot-Stuffing, CLI-sicherer EHLO-Host
- forgot_password: System-URL-Auto-Detect (Reset-Link war sonst
  relativ/kaputt) + Rate-Limit
- Audit-Log-Labels an tatsächliche Action-Keys angepasst;
  Voucher-Erstellung (einzeln & bulk) wird jetzt auditiert
- Site-Edit testet die Verbindung auch ohne Passwortänderung

UX/UI:
- Alert-/Badge-Styles zentral in global.css mit Dark-Mode-Variablen
  (vorher 7× dupliziert mit hart codierten Hellfarben)
- Sticky-Formulare + Tab-Erhalt nach Validierungsfehlern (Bulk),
  Settings kehren nach dem Speichern zum aktiven Tab zurück
- Gültigkeit menschenlesbar (z.B. "8 Stunden" statt "480 Minuten")
- Voucher-Name-Default "Gast/Guest" im öffentlichen Modus
- Favicon auch auf Login-/öffentlichen Seiten
- Verbindungstest-Button pro Site-Karte (Health-Check)
- i18n-Pass: Confirm-Dialoge, Toasts, Fehl-/Erfolgsmeldungen in de/en
- Sprachumschalter ohne fetch+reload (kein Re-Submit-Dialog)
- A11y: Esc schließt Modals, aria-live für Toasts, aria-labels auf
  Icon-Buttons; APP_KEY-Warnbanner im Dashboard
- Dashboard-Sync: set_time_limit passend zur Site-Anzahl;
  Voucher-Sync mit Map statt SELECT pro Voucher

Tooling:
- GitHub-Actions-Workflow: PHP-Lint aller Dateien + de/en-Key-Parität

https://claude.ai/code/session_01KKVpVPJjrTKGoRgpJcySD4

admin/audit_log.php

@@ -45,22 +45,23 @@ $users = $db->fetchAll("SELECT id, name FROM users WHERE is_active = 1 ORDER BY
 $currentPage = 'audit_log';
 $adminBase   = '';
 
+// WICHTIG: Die Keys muessen den tatsaechlich via writeAuditLog() geschriebenen
+// Action-Namen entsprechen (user_create, site_edit, ...), sonst erscheinen
+// die Eintraege als rohe Keys.
 $actionLabels = [
-    'voucher_created'  => '🎫 Voucher erstellt',
+    'voucher_create'   => '🎫 Voucher erstellt',
     'voucher_bulk'     => '🎫 Bulk Voucher',
     'user_login'       => '🔐 Login',
-    'user_logout'      => '🚪 Logout',
-    'user_created'     => '👤 Benutzer erstellt',
-    'user_updated'     => '👤 Benutzer geändert',
-    'user_deleted'     => '👤 Benutzer gelöscht',
-    'site_added'       => '🌐 Site hinzugefügt',
-    'site_updated'     => '🌐 Site geändert',
-    'site_deleted'     => '🌐 Site gelöscht',
-    'settings_saved'   => '⚙️ Einstellungen gespeichert',
+    'user_create'      => '👤 Benutzer erstellt',
+    'user_edit'        => '👤 Benutzer geändert',
+    'user_delete'      => '👤 Benutzer gelöscht',
+    'site_create'      => '🌐 Site hinzugefügt',
+    'site_edit'        => '🌐 Site geändert',
+    'site_delete'      => '🌐 Site gelöscht',
     'password_reset'   => '🔑 Passwort-Reset',
-    'template_created' => '📋 Profil erstellt',
-    'template_updated' => '📋 Profil geändert',
-    'template_deleted' => '📋 Profil gelöscht',
+    'update_installed' => '🔄 Update installiert',
+    'update_failed'    => '🔄 Update fehlgeschlagen',
+    'migrations_run'   => '🗄️ Migrationen ausgeführt',
 ];
 ?>
 <!DOCTYPE html>
@@ -81,7 +82,6 @@ $actionLabels = [
         .table td { padding: 12px 15px; border-bottom: 1px solid var(--border-color); font-size: 13px; color: var(--text-primary); }
         .table tr:last-child td { border-bottom: none; }
         .table tr:hover td { background: var(--bg-hover); }
-        .badge { display: inline-block; padding: 3px 9px; border-radius: 5px; font-size: 11px; font-weight: 500; }
         .filter-bar { display: flex; gap: 12px; flex-wrap: wrap; align-items: flex-end; }
         .filter-bar select { padding: 9px 12px; border: 2px solid var(--border-color); border-radius: 8px; font-size: 13px; background: var(--bg-input); color: var(--text-primary); }
         .filter-bar select:focus { outline: none; border-color: var(--accent); }