Workstream 3: Authentifizierung & Zugriffskontrolle (Phase 2)

Einheitliche Auth.js-v5-Sitzung (role + brigadeId) über Authentik-OIDC
(Platform-Admins) und Credentials/argon2id (Wehr-Konten). Default-deny
dreifach: Middleware + Layout-Guard im (app)-Segment + 401/403 in API-Routen
und Guards in Server Actions.

- src/lib/auth/roles.ts: Rollen als Single Source of Truth (aus DB-Enum
  abgeleitet) + canAccessBrigade-Wehr-Scoping.
- src/lib/auth/password.ts: argon2id mit OWASP-Minima (Node-only).
- src/lib/auth/rate-limit.ts: Sliding Window (5 Fehlversuche/15 min) auf
  login_attempts; greift im authorize-Callback (beide Login-Pfade).
- src/auth.config.ts: Edge-sicher (kein @/db, kein argon2), Cookie-secure/
  __Secure- umgebungsabhaengig (isHttps).
- src/auth.ts: Credentials + DB-Lookup + Rate-Limit + Authentik-signIn-Gate.
- src/middleware.ts: Allowlist inkl. api/auth, api/health, login, Statics.
- src/lib/auth/guards.ts: requireSession/requireRole/requirePlatformAdmin/
  requireWehrAdmin/requireOwnBrigade + API-Varianten (401/403 ohne Daten-Leak).
- (app)/layout.tsx: requireSession() als erste Zeile aktiviert.
- (auth)/login: page + login-form + Server Actions (Zod, Authentik + lokal).
- api/auth/[...nextauth]/route.ts; api/health/route.ts (anonym 200).
- scripts/seed-auth.ts: idempotenter Erst-Admin-Seed.
- Typen: src/types/next-auth.d.ts.
- Tests: Unit (password/roles/rate-limit) gruen; E2E-Gating-Spec geschrieben
  (deferred, kein Server/DB in Sandbox).

Offline verifiziert: tsc --noEmit, next lint, next build, drizzle-kit check,
vitest (13 Unit-Tests) je ohne Fehler; Edge-Safety-Grep ohne DB/argon2-Import.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

src/app/(app)/layout.tsx

@@ -1,24 +1,20 @@
 import { AppShell } from "@/components/layout/app-shell";
+import { requireSession } from "@/lib/auth/guards";
 
 // Gated App-Shell.
 //
 // GUARD-SLOT (Default-deny, dreifach — Querschnittsstandard 1):
-// Der Auth-Workstream (Workstream 3) fügt hier als ALLERERSTE Anweisung den
-// serverseitigen Session-Guard ein, z. B.:
-//
-//   import { requireSession } from "@/lib/auth/guards";
-//   ...
-//   await requireSession(); // leitet anonyme Aufrufe auf /login um
+// Der serverseitige Session-Guard ist hier die ALLERERSTE Anweisung. Er leitet
+// anonyme Aufrufe der GANZEN (app)-Gruppe auf /login um (Verteidigung in der
+// Tiefe — Lese-Seiten verlassen sich NICHT allein auf die Middleware).
 //
 // Kanonischer Login-Pfad: /login (siehe (auth)/login/page.tsx). Dieselbe Route
-// nutzen NextAuth pages.signIn, PUBLIC_ALLOWLIST und die Gating-Specs.
-//
-// Lese-Seiten dürfen sich NICHT allein auf die Middleware verlassen.
+// nutzen NextAuth pages.signIn, die Middleware-Allowlist und die Gating-Specs.
 export default async function AppLayout({
   children,
 }: {
   children: React.ReactNode;
 }) {
-  // await requireSession(); // <- vom Auth-Workstream zu aktivieren
+  await requireSession(); // Default-deny: leitet anonyme Aufrufe auf /login um
   return <AppShell>{children}</AppShell>;
 }