M3 Passwort-Reset und E-Mail-Verifikation ergänzen

- Auth-Token-Tabelle mit gehashten Single-Use-Tokens einführen
- Passwort-Reset und E-Mail-Verifikation als Dev-Flow bauen
- Token-Flow-Test, Smoke-Abdeckung und M3-Dokumentation aktualisieren

docs/m3-saas-basis-vorbereitung.md

@@ -21,7 +21,7 @@ das neue Modell umgestellt.
 - Keine Migration von Einzahlungen und Kaffeeverbrauch nach `ledger_entries`;
   das gehoert zu M4.
 - Kein Design- oder Layout-Umbau.
-- Kein Billing, keine Tarife, keine E-Mail-Verifikation im ersten Schritt.
+- Kein Billing und keine Tarife im ersten Schritt.
 - Kein produktiver Tenant-Wechsel in bestehenden Legacy-Seiten.
 
 ## Umgesetzter erster Schritt
@@ -31,6 +31,7 @@ Umgesetzte Migrationen:
 ```text
 database/migrations/0002_saas_identity_tenants.sql
 database/migrations/0003_saas_auth_account_fields.sql
+database/migrations/0004_saas_auth_tokens.sql
 ```
 
 Tabellen:
@@ -48,6 +49,7 @@ scripts/backfill-default-tenant.php
 scripts/check-m3-saas-basis.php
 scripts/check-m3-auth-flow.php
 scripts/check-m3-settings-flow.php
+scripts/check-m3-password-email-flow.php
 ```
 
 Wichtige Regeln:
@@ -118,6 +120,10 @@ login.php
 register.php
 konto.php
 logout.php
+passwort-vergessen.php
+passwort-zuruecksetzen.php
+email-verifikation-senden.php
+email-verifizieren.php
 ```
 
 Umgesetzter Umfang:
@@ -131,13 +137,17 @@ Umgesetzter Umfang:
   laesst `DEV_AUTH_EMAIL` und `AUTH_USER` aber als Legacy-Fallback bestehen.
 - `footer.php` ist fuer nicht angemeldete Public-Seiten sicher und zeigt Links
   zu Login und Registrierung.
+- Passwort-Reset erzeugt Single-Use-Tokens und speichert nur Token-Hashes.
+- E-Mail-Verifikation erzeugt Single-Use-Tokens und setzt
+  `users.email_verified_at`.
+- Bis zum produktiven Mailversand werden Links nur im Dev-Modus angezeigt
+  beziehungsweise in CLI-Checks direkt verwendet.
 
 Noch offen im M3-Auth-Scope:
 
-- Passwort-Reset.
-- E-Mail-Verifikation.
 - Tenant-Aufloesung ueber Subdomain oder Custom Domain.
 - Weitergehende Rollenmatrix fuer spaetere SaaS-Seiten.
+- Produktiver Mailversand fuer Reset- und Verifikationslinks.
 
 ## Rollen und Grundeinstellungen
 
@@ -171,6 +181,8 @@ Umgesetzter Umfang:
 - Registrierung und Login funktionieren fuer einen neuen Test-Tenant:
   erfuellt.
 - Owner-/Admin-Grundeinstellungen koennen aktualisiert werden: erfuellt.
+- Passwort-Reset und E-Mail-Verifikation funktionieren mit Single-Use-Tokens:
+  erfuellt.
 - Golden-Master und HTTP-Smoke bleiben gruen: erfuellt.
 
 ## Risiken
@@ -194,6 +206,9 @@ Umgesetzter Umfang:
 7. Auth-Flow-Kontrollskript schreiben: erledigt.
 8. Zentrale Rollenpruefung und Mandant-Einstellungen bauen: erledigt.
 9. Settings-Flow-Kontrollskript schreiben: erledigt.
-10. Golden-Master und HTTP-Smoke ausfuehren: erledigt.
-11. Passwort-Reset, E-Mail-Verifikation und Tenant-Aufloesung planen:
+10. Migration `0004_saas_auth_tokens.sql` erstellen: erledigt.
+11. Passwort-Reset und E-Mail-Verifikation bauen: erledigt.
+12. Password-/E-Mail-Flow-Kontrollskript schreiben: erledigt.
+13. Golden-Master und HTTP-Smoke ausfuehren: erledigt.
+14. Tenant-Aufloesung planen:
    naechster Schritt.