V 2.2.1 Anmeldung per Passkey (WebAuthn)

Passkey-Login analog zu werte-next: auf der Login-Seite "Mit Passkey
anmelden", Verwaltung der eigenen Passkeys im neuen Tab Einstellungen.
Das Passwort bleibt als Alternative bestehen.

- lib/webauthn.ts, lib/passkeys.ts sowie API-Routen unter /api/passkey
- proxy.ts: /api/passkey/authenticate ohne Session erreichbar
- TabLayout: dritter Tab Einstellungen (Index-Tabs statt Route wie werte)
- RP-Konfiguration ueber AUSGABEN_RP_*, da sich die .env auf dem Server
  mit anderen Apps teilt, die RP_ID/RP_ORIGIN bereits belegen
- Eigene Tabelle ausgaben_passkeys aus demselben Grund: werte-next nutzt
  in der gemeinsamen Datenbank RXF bereits die Tabelle passkeys
- eslint.config.mjs auf die Flat-Config von eslint-config-next umgestellt

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

README.md

@@ -23,6 +23,27 @@ Dies ist die modernisierte Version des alten PHP/jQuery-basierten Ausgaben-Progr
   - Bearbeiten-Funktion: Klick auf Eintrag lädt ihn ins Formular
   - Filterung nach aktivem TYP (Haushalt/Privat)
 
+- **Anmeldung per Passkey** (WebAuthn) alternativ zu Benutzername/Passwort
+
+## Anmeldung & Passkeys
+
+Benutzer und bcrypt-Passworthashes stehen in `AUTH_USERS`
+(Format `name:hash,name2:hash2`), die Session ist ein JWT-Cookie (`AUTH_SECRET`).
+
+Zusätzlich kann sich jeder Benutzer per **Passkey** anmelden (Fingerabdruck,
+Gesichtserkennung oder Geräte-PIN). Das Passwort bleibt als Alternative bestehen.
+
+- **Registrieren**: nach der Anmeldung im Tab *Einstellungen* → „Passkey hinzufügen".
+  Der Passkey wird dem angemeldeten Benutzer zugeordnet; mehrere Geräte sind möglich.
+- **Anmelden**: auf der Login-Seite „Mit Passkey anmelden".
+- **Speicherung**: Tabelle `ausgaben_passkeys` (siehe `create_table.sql`); sie wird beim
+  ersten Zugriff automatisch angelegt, falls der DB-Benutzer CREATE-Rechte hat. Der
+  app-spezifische Name ist nötig, weil sich mehrere Apps auf dem Server die Datenbank
+  `RXF` teilen und werte-next dort die Tabelle `passkeys` belegt.
+- **Konfiguration**: `RP_ID` (nur der Host), `RP_ORIGIN` (volle URL), `RP_NAME`.
+  Lokal sind `localhost` / `http://localhost:3005` voreingestellt.
+- **Wichtig**: WebAuthn funktioniert nur über **HTTPS** oder auf `localhost`.
+
 ## Technologie-Stack
 
 - **Frontend**: Next.js 16, React 19, TypeScript