V 1.3.0 Anmeldung per Passkey (WebAuthn)

Passkey-Login wie in ausgaben-next/werte-next: auf der Login-Seite "Mit
Passkey anmelden", Verwaltung der eigenen Passkeys unter /einstellungen
(Button oben rechts). Das Passwort bleibt als Alternative bestehen.

- lib/webauthn.ts, lib/passkeys.ts sowie API-Routen unter /api/passkey
- proxy.ts: /api/passkey/authenticate ohne Session erreichbar
- Styles als eigene CSS-Klassen in globals.css (kein Tailwind in diesem
  Projekt), passend zum vorhandenen login-*/app-*-Schema
- Tabelle tabletten_passkeys in der DB medizin: app-spezifischer Name,
  damit sich Apps desselben Stacks nicht gegenseitig Passkeys anzeigen
  oder loeschen
- RP-Konfiguration ueber TABLETTEN_RP_*, da sich die .env auf dem Server
  mit anderen Apps teilt, die RP_ID/RP_ORIGIN bereits belegen

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

compose.yml

@@ -12,6 +12,12 @@ services:
       - DB_NAME=${DB_NAME}
       - AUTH_USERS=${AUTH_USERS}
       - AUTH_SECRET=${AUTH_SECRET}
+      # Passkeys (WebAuthn): Host bzw. volle URL der Anwendung.
+      # Eigene Variablennamen, weil sich mehrere Apps im Stack eine .env teilen
+      # und RP_ID/RP_ORIGIN dort bereits von werte-next belegt sind.
+      - RP_ID=${TABLETTEN_RP_ID:-tabletten.fuerst-stuttgart.de}
+      - RP_ORIGIN=${TABLETTEN_RP_ORIGIN:-https://tabletten.fuerst-stuttgart.de}
+      - RP_NAME=${TABLETTEN_RP_NAME:-Tabletten-Check}
     labels:
       - traefik.enable=true
       - traefik.http.routers.tabletten.entrypoints=http