fix: stille Anmeldeschleife bei Secure-Cookie über HTTP erklären

Bei COOKIE_SECURE=true und Zugriff über HTTP verwirft der Browser das
Sitzungs-Cookie. Die Anmeldung selbst meldet Erfolg, die nächste Anfrage gilt
aber als nicht angemeldet – der Nutzer landet ohne jede Meldung wieder auf der
Anmeldemaske und hält es für ein falsches Passwort.

- Das Frontend prüft die Sitzung unmittelbar nach der Anmeldung und nennt bei
  einem Fehlschlag die Ursache samt beider Auswege
- Das Backend protokolliert dieselbe Kombination als Warnung und wertet dabei
  X-Forwarded-Proto aus, weil hinter einem Reverse Proxy immer http ankommt
- docs/deployment.md beschreibt das Symptom wörtlich

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

backend/app/api/routes/auth.py

@@ -3,7 +3,12 @@
 from fastapi import APIRouter, Request, Response, status
 
 from app.api.deps import CurrentUser, DbSession
-from app.core.cookies import REFRESH_COOKIE, clear_auth_cookies, set_auth_cookies
+from app.core.cookies import (
+    REFRESH_COOKIE,
+    clear_auth_cookies,
+    set_auth_cookies,
+    warn_if_cookie_unusable,
+)
 from app.core.errors import AuthError
 from app.schemas.auth import ChangePasswordRequest, LoginRequest, UserOut
 from app.schemas.common import ErrorResponse, MessageResponse
@@ -29,7 +34,12 @@ UNAUTHORIZED = {status.HTTP_401_UNAUTHORIZED: {"model": ErrorResponse}}
     description="Prüft die Zugangsdaten und legt Access- und Refresh-Token als "
     "httpOnly-Cookies ab.",
 )
-async def login(payload: LoginRequest, response: Response, session: DbSession) -> UserOut:
+async def login(
+    payload: LoginRequest, request: Request, response: Response, session: DbSession
+) -> UserOut:
+    # Meldet die Kombination, bei der der Browser das Cookie stillschweigend verwirft.
+    warn_if_cookie_unusable(request)
+
     provider = get_auth_provider("local")
     user = await provider.authenticate(
         session, Credentials(username=payload.username, password=payload.password)