feat(api): Core-API mit Authentifizierung, CRUD und Monatsreport

- Anmeldung über Argon2id und JWT in httpOnly-Cookies, Refresh mit echter
  Rotation über die neue Tabelle refresh_token
- AuthProvider-Protokoll als Vorbereitung für OIDC, Administrator-Anlage beim
  Erststart mit erzwungenem Passwortwechsel
- CRUD für Konten, Kategorien (zweistufiger Baum), Firmen, Recurrences,
  Preisversionen, Buchungen, Budgets, Vorlagen und Sparziele
- Fälligkeiten mit Overlay-Logik: abrufen, bestätigen, auslassen, zurücksetzen
- Kontosalden zum Stichtag, Monatsübersicht mit Plan-Ist-Vergleich
- SECRET_KEY jetzt mindestens 32 Zeichen; Platzhalter in Produktion abgelehnt
- 61 neue Integrationstests, insgesamt 148 grün

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

backend/app/core/config.py

@@ -4,9 +4,12 @@ from functools import lru_cache
 from pathlib import Path
 from typing import Literal
 
-from pydantic import Field, PostgresDsn, field_validator
+from pydantic import Field, PostgresDsn, field_validator, model_validator
 from pydantic_settings import BaseSettings, SettingsConfigDict
 
+# Erkennbarer Platzhalter: erlaubt lokale Starts, ist in Produktion aber verboten.
+PLACEHOLDER_SECRET = "bitte-aendern-" + "0" * 32
+
 
 class Settings(BaseSettings):
     """Alle Einstellungen stammen aus der Umgebung bzw. einer .env-Datei."""
@@ -34,7 +37,8 @@ class Settings(BaseSettings):
     )
 
     # --- Sicherheit ----------------------------------------------------------
-    secret_key: str = Field(default="change-me-in-production", min_length=8)
+    # HS256 verlangt mindestens 32 Byte Schlüsselmaterial (RFC 7518, Abschnitt 3.2).
+    secret_key: str = Field(default=PLACEHOLDER_SECRET, min_length=32)
     access_token_ttl_minutes: int = 30
     refresh_token_ttl_days: int = 14
     cookie_secure: bool = True
@@ -88,6 +92,15 @@ class Settings(BaseSettings):
             return value.replace("postgresql://", "postgresql+asyncpg://", 1)
         return value
 
+    @model_validator(mode="after")
+    def _reject_placeholder_secret(self) -> "Settings":
+        """In Produktion muss ein eigener Signaturschlüssel gesetzt sein."""
+        if self.environment == "production" and self.secret_key == PLACEHOLDER_SECRET:
+            raise ValueError(
+                "SECRET_KEY ist nicht gesetzt. Einen Schlüssel erzeugen mit: openssl rand -hex 32"
+            )
+        return self
+
     @property
     def sync_database_url(self) -> str:
         """Synchrone Variante der DSN – wird von Alembic benötigt."""