Sicherheits-/Korrektheits-Fixes und neue Funktionen

Bugfixes aus dem Code-Review:
- XSS: unescaptes $_SERVER['PHP_SELF'] in csvupload.php und
  letzteneintraege.php durch feste Seitennamen ersetzt.
- Stripe-Webhook: Event-Deduplizierung (neue Tabelle stripe_webhook_events)
  gegen doppelte Verarbeitung/Dolibarr-Rechnungen bei Retry-Zustellung.
- Stripe-Webhook: Tarifwechsel aus dem Kundenportal wird lokal nachgezogen
  (plan_code aus dem Preis-lookup_key bei subscription.updated).
- Post-Redirect-Get fuer jahresauswertung, mailversenden und die
  Selbst-Stricheintragung - verhindert Doppelbuchung/Doppelversand per
  Browser-Refresh.
- Jahresbonus: Mails erst nach erfolgreichem Commit; Restcent-Ausgleich
  beim letzten Empfaenger, damit die Summe exakt stimmt.
- Verschachtelte HTML-Dokumente in csvupload/einzahlung/stricheintragen
  entfernt (Layout kommt aus header.php).
- Rate-Limit fuer den Versand von E-Mail-Verifizierungslinks.

Neue Funktionen:
- Mitglieder koennen ihren zuletzt selbst eingetragenen Strich wieder
  stornieren (nur eigene Web-Eintraege, Kassenwart-Eintraege bleiben).
- Monatsuebersicht des eigenen Verbrauchs im Mitglieder-Dashboard.
- Automatische Zahlungserinnerung: opt-in pro Mandant ab der
  Warnschwelle, mit Intervall; Cron-Skript scripts/send-payment-reminders.php.
- CSV-Import fuer Mitgliederlisten inkl. herunterladbarer Vorlage
  (mitglieder-vorlage.php), Semikolon-/Komma- und BOM-Erkennung.
- Logo als PDF-Wasserzeichen pro Mandant (Upload in den Mandant-
  Einstellungen, geschuetzt unter var/tenant_logos/, ersetzt den
  Text-Wasserzeichen im Ausdruck).

Robusterer Teilnehmer-Lookup im Dashboard ueber user_id (Fallback E-Mail).

stripe-webhook.php

@@ -33,6 +33,15 @@ if ($event === null) {
 $pdo = app_db_pdo();
 $object = $event['data'];
 
+// Idempotenz: bereits verarbeitete Events (Stripe-Retry bei Timeout) werden
+// mit 200 bestaetigt, aber nicht erneut gebucht - verhindert u. a. doppelte
+// Dolibarr-Rechnungen bei wiederholtem invoice.paid.
+if (billing_webhook_event_seen($pdo, $event['id'], $event['type'])) {
+    http_response_code(200);
+    echo 'ok (bereits verarbeitet)';
+    exit;
+}
+
 switch ($event['type']) {
     case 'checkout.session.completed':
         $tenantId = isset($object['metadata']['tenant_id']) ? (int)$object['metadata']['tenant_id'] : null;
@@ -57,11 +66,26 @@ switch ($event['type']) {
             $periodEnd = isset($object['current_period_end'])
                 ? date('Y-m-d H:i:s', (int)$object['current_period_end'])
                 : null;
-            billing_update($pdo, $tenantId, [
+            $updateFields = [
                 'subscription_status' => $status,
                 'current_period_end' => $periodEnd,
+            ];
+
+            // Tarifwechsel aus dem Stripe-Kundenportal lokal nachziehen: der
+            // aktuelle Preis steckt am Subscription-Item, per lookup_key wieder
+            // auf unseren Plan-Code abbildbar. Nur bei aktiver Subscription und
+            // eindeutiger Zuordnung, sonst bleibt der bisherige Plan bestehen.
+            $lookupKey = (string)($object['items']['data'][0]['price']['lookup_key'] ?? '');
+            $mappedPlan = billing_plan_code_by_lookup_key($lookupKey);
+            if ($mappedPlan !== null && in_array($status, ['active', 'trialing', 'past_due'], true)) {
+                $updateFields['plan_code'] = $mappedPlan;
+            }
+
+            billing_update($pdo, $tenantId, $updateFields);
+            app_audit_log($pdo, $tenantId, null, 'billing.subscription_updated', 'tenant', $tenantId, [
+                'status' => $status,
+                'plan_code' => $updateFields['plan_code'] ?? null,
             ]);
-            app_audit_log($pdo, $tenantId, null, 'billing.subscription_updated', 'tenant', $tenantId, ['status' => $status]);
         }
         break;