Security-, Bugfix- und UX-Überarbeitung auf Basis des Code-Reviews

Sicherheit:
- Bulk-Erstellung serverseitig auf eingeloggte Nutzer beschränkt;
  expire_minutes wird validiert (anonym: nur Default/Template-Werte,
  eingeloggt: max. 1 Jahr)
- IP-basiertes Rate-Limit über neue Tabelle request_throttle
  (Voucher-Erstellung + Passwort-Reset-Anfragen), Session-Fallback
  für Alt-Installationen; Migration 0002
- session_regenerate_id() nach Login, Secure-Cookie-Flag bei HTTPS
- Admin-/Aktiv-Status wird pro Request live aus der DB geprüft
  (Rechteentzug & Deaktivierung wirken sofort); Schutz vor
  Selbst-Degradierung im Benutzer-Edit
- Alle state-ändernden Admin-Aktionen von GET auf POST umgestellt
  (kein CSRF-Token mehr in URLs)
- login_simple.php (Legacy, Debug-Leak) entfernt; cron_test.php nur
  noch für Admins; .htaccess auf Apache-2.4-Syntax inkl. cron_test.php
- M365 Client Secret wird nicht mehr ins Formular zurückgegeben
- Updater: Zip-Slip-/Pfad-Traversal-Schutz, Backup vor dem Anwenden
  mit automatischem Rollback bei Fehlern, AuditLogger-Bug behoben
- cron_sync: Token-Vergleich mit hash_equals; login_attempts-Pruning
- CSV-Export gegen Excel-Formula-Injection abgesichert

Bugfixes:
- M365-Login: Fallback auf userPrincipalName, wenn Graph kein 'mail'
  liefert (Nutzer ohne Exchange-Postfach konnten sich nie anmelden)
- PRG-Pattern überall: F5 erzeugt keine Duplikat-Voucher und
  wiederholt keine Admin-Aktionen (Session-Flash-Messages)
- QR-Code nicht mehr invertiert (schwarz auf weiß, scanbar)
- Bulk-Erstellung nutzt den UniFi 'n'-Parameter: 1 API-Call statt
  n× Login + Voucherlisten-Abruf; exaktes Code-Matching per
  create_time statt "global neuester Voucher"
- Mailer: doppelte Zeilenumbrüche behoben, AUTH nur mit Credentials,
  SMTP-Dot-Stuffing, CLI-sicherer EHLO-Host
- forgot_password: System-URL-Auto-Detect (Reset-Link war sonst
  relativ/kaputt) + Rate-Limit
- Audit-Log-Labels an tatsächliche Action-Keys angepasst;
  Voucher-Erstellung (einzeln & bulk) wird jetzt auditiert
- Site-Edit testet die Verbindung auch ohne Passwortänderung

UX/UI:
- Alert-/Badge-Styles zentral in global.css mit Dark-Mode-Variablen
  (vorher 7× dupliziert mit hart codierten Hellfarben)
- Sticky-Formulare + Tab-Erhalt nach Validierungsfehlern (Bulk),
  Settings kehren nach dem Speichern zum aktiven Tab zurück
- Gültigkeit menschenlesbar (z.B. "8 Stunden" statt "480 Minuten")
- Voucher-Name-Default "Gast/Guest" im öffentlichen Modus
- Favicon auch auf Login-/öffentlichen Seiten
- Verbindungstest-Button pro Site-Karte (Health-Check)
- i18n-Pass: Confirm-Dialoge, Toasts, Fehl-/Erfolgsmeldungen in de/en
- Sprachumschalter ohne fetch+reload (kein Re-Submit-Dialog)
- A11y: Esc schließt Modals, aria-live für Toasts, aria-labels auf
  Icon-Buttons; APP_KEY-Warnbanner im Dashboard
- Dashboard-Sync: set_time_limit passend zur Site-Anzahl;
  Voucher-Sync mit Map statt SELECT pro Voucher

Tooling:
- GitHub-Actions-Workflow: PHP-Lint aller Dateien + de/en-Key-Parität

https://claude.ai/code/session_01KKVpVPJjrTKGoRgpJcySD4

assets/global.css

@@ -29,6 +29,18 @@
     --scrollbar-thumb: #c1c1c1;
     --toast-bg: #ffffff;
     --stat-sub: #f0f0f0;
+    --alert-error-bg: #fee;
+    --alert-error-border: #fcc;
+    --alert-error-text: #c33;
+    --alert-success-bg: #efe;
+    --alert-success-border: #cfc;
+    --alert-success-text: #3c3;
+    --badge-success-bg: #d4edda;
+    --badge-success-text: #155724;
+    --badge-warning-bg: #fff3cd;
+    --badge-warning-text: #856404;
+    --badge-danger-bg: #f8d7da;
+    --badge-danger-text: #721c24;
 }
 
 [data-theme="dark"] {
@@ -61,6 +73,18 @@
     --scrollbar-thumb: #3a3f5a;
     --toast-bg: #1a1d27;
     --stat-sub: #22273a;
+    --alert-error-bg: #3a161c;
+    --alert-error-border: #5c2230;
+    --alert-error-text: #f5a3ad;
+    --alert-success-bg: #122e1d;
+    --alert-success-border: #1e4d30;
+    --alert-success-text: #86e0a3;
+    --badge-success-bg: #122e1d;
+    --badge-success-text: #86e0a3;
+    --badge-warning-bg: #3a2f10;
+    --badge-warning-text: #f0c95c;
+    --badge-danger-bg: #3a161c;
+    --badge-danger-text: #f5a3ad;
 }
 
 /* === DARK MODE OVERRIDES FOR COMMON ELEMENTS === */
@@ -199,18 +223,6 @@
 [data-theme="dark"] .placeholder-info h4 { color: #d4a017 !important; }
 [data-theme="dark"] .placeholder-info code { background: #2a2000 !important; }
 
-[data-theme="dark"] .alert-error {
-    background: #2d0a0a !important;
-    border-color: #7f1d1d !important;
-    color: #fca5a5 !important;
-}
-
-[data-theme="dark"] .alert-success {
-    background: #052e16 !important;
-    border-color: #14532d !important;
-    color: #86efac !important;
-}
-
 [data-theme="dark"] .user-menu {
     background: var(--bg-hover) !important;
 }
@@ -469,3 +481,40 @@
 body, .card, .sidebar, .header, input, select, textarea, .btn {
     transition: background-color 0.2s, border-color 0.2s, color 0.2s;
 }
+
+/* === SHARED COMPONENTS: ALERTS & BADGES ===
+   Zentral definiert (statt pro Seite dupliziert), damit Light- und
+   Dark-Mode ueber die CSS-Variablen oben konsistent funktionieren. */
+.alert {
+    display: flex;
+    align-items: center;
+    gap: 10px;
+    padding: 13px 18px;
+    border-radius: 10px;
+    font-size: 14px;
+    margin-bottom: 20px;
+}
+.alert-error {
+    background: var(--alert-error-bg);
+    border: 1px solid var(--alert-error-border);
+    color: var(--alert-error-text);
+}
+.alert-success {
+    background: var(--alert-success-bg);
+    border: 1px solid var(--alert-success-border);
+    color: var(--alert-success-text);
+}
+
+.badge {
+    display: inline-block;
+    padding: 3px 9px;
+    border-radius: 5px;
+    font-size: 11px;
+    font-weight: 500;
+    margin: 2px;
+}
+.badge-success   { background: var(--badge-success-bg); color: var(--badge-success-text); }
+.badge-warning   { background: var(--badge-warning-bg); color: var(--badge-warning-text); }
+.badge-danger    { background: var(--badge-danger-bg);  color: var(--badge-danger-text); }
+.badge-info      { background: var(--bg-badge-info);    color: var(--text-badge-info); }
+.badge-secondary { background: var(--bg-hover);         color: var(--text-muted); }

assets/global.js

@@ -35,6 +35,9 @@ document.addEventListener('DOMContentLoaded', updateDarkModeBtn);
                 container.id = 'toast-container';
                 document.body.appendChild(container);
             }
+            // Screenreader ueber neue Toasts informieren
+            container.setAttribute('role', 'status');
+            container.setAttribute('aria-live', 'polite');
         }
         return container;
     }
@@ -92,13 +95,21 @@ document.addEventListener('DOMContentLoaded', function() {
     if (overlay) overlay.addEventListener('click', closeMobileSidebar);
 
     document.addEventListener('keydown', function(e) {
-        if (e.key === 'Escape') closeMobileSidebar();
+        if (e.key === 'Escape') {
+            closeMobileSidebar();
+            // Offene Modals per Esc schliessen (Accessibility)
+            document.querySelectorAll('.modal.active').forEach(m => m.classList.remove('active'));
+        }
     });
 });
 
 /* === LANGUAGE SWITCHER === */
 function switchLanguage(lang) {
-    fetch('?set_lang=' + lang, { method: 'GET' }).then(() => location.reload());
+    // Direkter Navigationswechsel statt fetch+reload: vermeidet den
+    // "Formular erneut senden?"-Dialog und erhaelt bestehende URL-Parameter.
+    const url = new URL(window.location.href);
+    url.searchParams.set('set_lang', lang);
+    window.location.href = url.toString();
 }
 
 /* === CLIPBOARD === */