CSRF-Schutz, Brute-Force-Bremse und wirksame Session-Cookie-Flags

Neu: inc/security.inc.php, eingebunden von inc/config.inc.php.

CSRF
Der Adminbereich hatte keinerlei Schutz gegen fremde POSTs. Jetzt haengt
csrf_inject_output() als Ausgabefilter das Token an jedes POST-Formular und
csrf_require() weist POSTs ohne gueltiges Token ab. Beides wird nur fuer
Skripte unterhalb von admin/ aktiviert, der oeffentliche Bereich bleibt
unveraendert. Der Umweg ueber den Ausgabefilter erspart es, die rund 60
bestehenden Formulare einzeln anzufassen; der AJAX-Aufruf auf
mailtemplate.php schickt das Token als Feld mit.

Session-Cookie-Flags
config.inc.php setzt secure, httponly und samesite - aber 25 Dateien in
admin/ und intern/ riefen session_start() vor dem Include auf, womit die
Parameter wirkungslos waren. Die vorgezogenen Aufrufe sind entfernt,
config.inc.php startet die Sitzung nur noch, wenn keine laeuft.
admin/logout.php musste umgestellt werden, weil dort session_destroy()
vor dem Include stand; die Cookies werden jetzt mit denselben Parametern
geloescht, mit denen sie gesetzt wurden.

Brute-Force
Nach 5 Fehlversuchen je Konto oder 20 je IP ist die Anmeldung 15 Minuten
gesperrt, gezaehlt in der neuen Tabelle login_attempts. Fehlt die Tabelle,
laeuft der Login wie bisher - gleiche Vorgehensweise wie bei
securitytokensHatAblaufspalte(). Eine erfolgreiche Anmeldung raeumt die
Fehlversuche des Kontos ab.

Passwort vergessen
admin/passwortvergessen.php uebergab $mail und $body an SendMailMessage();
beide Variablen gibt es dort nicht, sie heissen $empfaenger und $text. Die
Mail ging deshalb nie raus, obwohl der Reset-Code gesetzt wurde.

Getestet gegen einen lokalen PHP-Server: Token wird eingesetzt, POST ohne
Token liefert 403, mit Token laeuft der Login normal, der sechste
Fehlversuch wird gesperrt, das Sitzungscookie traegt secure/HttpOnly/
SameSite. Oeffentliche Seiten sind unveraendert.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

admin/index.php

@@ -1,7 +1,4 @@
 <?php
-if (session_status() !== PHP_SESSION_ACTIVE) {
-    session_start();
-}
 
 
 require_once(__DIR__ . "/../inc/config.inc.php");
@@ -67,25 +64,25 @@ include("templates/footer.inc.php");
 	echo '<h4>Welche Aktion möchtest du durchführen?</h4>
 	<table width=100%><tr><td width=40%>
 	
-	<form action="'. $_SERVER["PHP_SELF"] .'" method=POST>
+	<form action="'. self_action() .'" method=POST>
 	<input type=hidden name=aktion value=1>
 	<input type=submit class="btn btn-primary btn-lg" value="Formular-Anfragen bearbeiten">
 	</form>
 	</td></tr>
 	<tr><td><br><br>
-	<form action="'. $_SERVER["PHP_SELF"] .'" method=POST>
+	<form action="'. self_action() .'" method=POST>
 	<input type=hidden name=aktion value=18>
 	<input type=submit class="btn btn-primary" value="Mailvorlagen anlegen">
 	</form>	
 	</td></tr>
 	<tr><td><br><br>
-	<form action="'. $_SERVER["PHP_SELF"] .'" method=POST>
+	<form action="'. self_action() .'" method=POST>
 	<input type=hidden name=aktion value=12>
 	<input type=submit class="btn btn-primary" value="Formular Auswertung">
 	</form>
 	</td></tr>
 	<tr><td><br><br>
-	<form action="'. $_SERVER["PHP_SELF"] .'" method=POST>
+	<form action="'. self_action() .'" method=POST>
 	<input type=hidden name=aktion value=16>
 	<input type=submit class="btn btn-primary" value="Mailvorlagen anpassen">
 	</form>	
@@ -93,13 +90,13 @@ include("templates/footer.inc.php");
 	<tr></tr>
 	<tr><td><h3>Urlaub / Hinweis planen</h3></td><td></td></tr>
 	<tr><td>
-	<form action="'. $_SERVER["PHP_SELF"] .'" method=POST>
+	<form action="'. self_action() .'" method=POST>
 	<input type=hidden name=aktion value=4>
 	<input type=submit class="btn btn-primary btn-lg" value="Urlaub eintragen">
 	</form>	
 	</td></tr>
 	<tr><td><br><br>
-	<form action="'. $_SERVER["PHP_SELF"] .'" method=POST>
+	<form action="'. self_action() .'" method=POST>
 	<input type=hidden name=aktion value=6>
 	<input type=submit class="btn btn-primary" value="Notfallsprechstunde eintragen">
 	</form>