Zwei-Faktor-Anmeldung per TOTP

app/totp.php implementiert RFC 6238 selbst statt per Bibliothek: der
Algorithmus ist ein HMAC plus eine Truncation, und ein zweiter Faktor ist
die letzte Stelle fuer ungepruefte Abhaengigkeiten. Der QR-Code entsteht
aus dem ohnehin vorhandenen TCPDF, damit kein externer Dienst das
Geheimnis sieht.

Beim Login wird die Anmeldung bei aktivem zweitem Faktor nicht
abgeschlossen; der Zwischenzustand gewaehrt keinerlei Zugriff und ist
byte-identisch zu einem unangemeldeten Aufruf. users.totp_last_step
verhindert die Wiederverwendung eines abgefangenen Codes innerhalb seines
Gueltigkeitsfensters. Abschalten verlangt Passwort und Code.

APP_REQUIRE_2FA_FOR_ADMINS macht den Faktor fuer Platform-Admins
verbindlich, per Weiterleitung auf die Einrichtung statt als harte Sperre
- sonst koennte der Schalter den einzigen Admin aussperren. Standard aus.

check-konto-und-mandantenwechsel erwartete beim Login noch das entfernte
Kundenkuerzel-Feld und damit einen direkten Sprung aufs Dashboard; der
Check bildet jetzt den tatsaechlichen Weg ueber die Mandantenauswahl ab.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

app/saas-auth.php

@@ -885,6 +885,30 @@ function saas_change_password(
     return ['ok' => true, 'errors' => []];
 }
 
+/**
+ * Bestaetigt das Passwort eines bereits angemeldeten Kontos, ohne es zu
+ * aendern. Gedacht fuer Aktionen, die eine bestehende Sitzung allein nicht
+ * rechtfertigen soll - etwa das Abschalten des zweiten Faktors.
+ */
+function saas_password_matches(PDO $pdo, int $userId, string $password): bool
+{
+    if ($password === '') {
+        return false;
+    }
+
+    $stmt = $pdo->prepare('SELECT password_hash, status FROM users WHERE id = ? LIMIT 1');
+    $stmt->execute([$userId]);
+    $user = $stmt->fetch();
+
+    if ($user === false || (string)$user['status'] !== 'active') {
+        return false;
+    }
+
+    $hash = (string)($user['password_hash'] ?? '');
+
+    return $hash !== '' && password_verify($password, $hash);
+}
+
 /**
  * Hat der Nutzer seine E-Mail-Adresse nachgewiesen? Wird fuer Aktionen
  * geprueft, die Mails an Dritte ausloesen oder fremde Konten anlegen -