Security-, Bugfix- und UX-Überarbeitung auf Basis des Code-Reviews

Sicherheit:
- Bulk-Erstellung serverseitig auf eingeloggte Nutzer beschränkt;
  expire_minutes wird validiert (anonym: nur Default/Template-Werte,
  eingeloggt: max. 1 Jahr)
- IP-basiertes Rate-Limit über neue Tabelle request_throttle
  (Voucher-Erstellung + Passwort-Reset-Anfragen), Session-Fallback
  für Alt-Installationen; Migration 0002
- session_regenerate_id() nach Login, Secure-Cookie-Flag bei HTTPS
- Admin-/Aktiv-Status wird pro Request live aus der DB geprüft
  (Rechteentzug & Deaktivierung wirken sofort); Schutz vor
  Selbst-Degradierung im Benutzer-Edit
- Alle state-ändernden Admin-Aktionen von GET auf POST umgestellt
  (kein CSRF-Token mehr in URLs)
- login_simple.php (Legacy, Debug-Leak) entfernt; cron_test.php nur
  noch für Admins; .htaccess auf Apache-2.4-Syntax inkl. cron_test.php
- M365 Client Secret wird nicht mehr ins Formular zurückgegeben
- Updater: Zip-Slip-/Pfad-Traversal-Schutz, Backup vor dem Anwenden
  mit automatischem Rollback bei Fehlern, AuditLogger-Bug behoben
- cron_sync: Token-Vergleich mit hash_equals; login_attempts-Pruning
- CSV-Export gegen Excel-Formula-Injection abgesichert

Bugfixes:
- M365-Login: Fallback auf userPrincipalName, wenn Graph kein 'mail'
  liefert (Nutzer ohne Exchange-Postfach konnten sich nie anmelden)
- PRG-Pattern überall: F5 erzeugt keine Duplikat-Voucher und
  wiederholt keine Admin-Aktionen (Session-Flash-Messages)
- QR-Code nicht mehr invertiert (schwarz auf weiß, scanbar)
- Bulk-Erstellung nutzt den UniFi 'n'-Parameter: 1 API-Call statt
  n× Login + Voucherlisten-Abruf; exaktes Code-Matching per
  create_time statt "global neuester Voucher"
- Mailer: doppelte Zeilenumbrüche behoben, AUTH nur mit Credentials,
  SMTP-Dot-Stuffing, CLI-sicherer EHLO-Host
- forgot_password: System-URL-Auto-Detect (Reset-Link war sonst
  relativ/kaputt) + Rate-Limit
- Audit-Log-Labels an tatsächliche Action-Keys angepasst;
  Voucher-Erstellung (einzeln & bulk) wird jetzt auditiert
- Site-Edit testet die Verbindung auch ohne Passwortänderung

UX/UI:
- Alert-/Badge-Styles zentral in global.css mit Dark-Mode-Variablen
  (vorher 7× dupliziert mit hart codierten Hellfarben)
- Sticky-Formulare + Tab-Erhalt nach Validierungsfehlern (Bulk),
  Settings kehren nach dem Speichern zum aktiven Tab zurück
- Gültigkeit menschenlesbar (z.B. "8 Stunden" statt "480 Minuten")
- Voucher-Name-Default "Gast/Guest" im öffentlichen Modus
- Favicon auch auf Login-/öffentlichen Seiten
- Verbindungstest-Button pro Site-Karte (Health-Check)
- i18n-Pass: Confirm-Dialoge, Toasts, Fehl-/Erfolgsmeldungen in de/en
- Sprachumschalter ohne fetch+reload (kein Re-Submit-Dialog)
- A11y: Esc schließt Modals, aria-live für Toasts, aria-labels auf
  Icon-Buttons; APP_KEY-Warnbanner im Dashboard
- Dashboard-Sync: set_time_limit passend zur Site-Anzahl;
  Voucher-Sync mit Map statt SELECT pro Voucher

Tooling:
- GitHub-Actions-Workflow: PHP-Lint aller Dateien + de/en-Key-Parität

https://claude.ai/code/session_01KKVpVPJjrTKGoRgpJcySD4

includes/Mailer.php

@@ -22,7 +22,7 @@ class Mailer {
         $this->smtpUsername = $this->db->getSetting('smtp_username', '');
         $this->smtpPassword = $this->db->getSetting('smtp_password', '');
         $this->smtpEncryption = $this->db->getSetting('smtp_encryption', 'tls');
-        $this->fromEmail = $this->db->getSetting('smtp_from_email', 'noreply@' . $_SERVER['HTTP_HOST']);
+        $this->fromEmail = $this->db->getSetting('smtp_from_email', 'noreply@' . ($_SERVER['HTTP_HOST'] ?? 'localhost'));
         $this->fromName = $this->db->getSetting('smtp_from_name', $this->db->getSetting('app_title', 'UniFi Voucher System'));
     }
     
@@ -49,24 +49,30 @@ class Mailer {
     
     private function sendWithSmtp($to, $subject, $body, $isHtml = false) {
         try {
+            // Hostname auch im CLI-Kontext (Cron) verfuegbar
+            $heloHost = $_SERVER['HTTP_HOST'] ?? (gethostname() ?: 'localhost');
+
             // Verbindung aufbauen
             $socket = $this->connectToSmtp();
-            
+
             // EHLO
-            $this->smtpCommand($socket, "EHLO " . $_SERVER['HTTP_HOST']);
-            
+            $this->smtpCommand($socket, "EHLO " . $heloHost);
+
             // STARTTLS wenn nötig
             if ($this->smtpEncryption === 'tls') {
                 $this->smtpCommand($socket, "STARTTLS");
                 stream_socket_enable_crypto($socket, true, STREAM_CRYPTO_METHOD_TLS_CLIENT);
-                $this->smtpCommand($socket, "EHLO " . $_SERVER['HTTP_HOST']);
+                $this->smtpCommand($socket, "EHLO " . $heloHost);
             }
-            
-            // AUTH LOGIN
-            $this->smtpCommand($socket, "AUTH LOGIN");
-            $this->smtpCommand($socket, base64_encode($this->smtpUsername));
-            $this->smtpCommand($socket, base64_encode($this->smtpPassword));
-            
+
+            // AUTH LOGIN – nur wenn Zugangsdaten konfiguriert sind
+            // (Server ohne Auth lehnen ein leeres AUTH LOGIN sonst ab)
+            if ($this->smtpUsername !== '') {
+                $this->smtpCommand($socket, "AUTH LOGIN");
+                $this->smtpCommand($socket, base64_encode($this->smtpUsername));
+                $this->smtpCommand($socket, base64_encode($this->smtpPassword));
+            }
+
             // MAIL FROM
             $this->smtpCommand($socket, "MAIL FROM:<{$this->fromEmail}>");
             
@@ -89,13 +95,14 @@ class Mailer {
             }
             
             $message .= "\r\n";
-            
-            // Body - bei Plain Text Zeilenumbrüche konvertieren
-            if (!$isHtml) {
-                $body = nl2br($body, false); // Für Plain Text
-                $body = str_replace('<br>', "\r\n", $body);
-            }
-            
+
+            // Zeilenumbrueche auf CRLF normalisieren (der fruehere
+            // nl2br/str_replace-Umweg hat Umbrueche verdoppelt)
+            $body = preg_replace("/\r\n|\r|\n/", "\r\n", $body);
+            // SMTP-Dot-Stuffing: Zeilen, die mit '.' beginnen, wuerden sonst
+            // die DATA-Phase vorzeitig beenden (RFC 5321, 4.5.2)
+            $body = preg_replace('/^\./m', '..', $body);
+
             $message .= $body;
             $message .= "\r\n.\r\n";