V 2.2.0 Anmeldung per Passkey (WebAuthn)

Zusätzlich zu Benutzername/Passwort ist die Anmeldung per Passkey möglich
(Fingerabdruck, Gesichtserkennung, Geräte-PIN). Das Passwort bleibt als
Alternative bestehen.

- lib/webauthn.ts kapselt @simplewebauthn/server, RP-Config über
  RP_ID/RP_ORIGIN/RP_NAME, Challenge in kurzlebigem httpOnly-Cookie
- lib/passkeys.ts speichert Credentials je Benutzer in der MySQL-Tabelle
  passkeys und legt sie beim ersten Zugriff an
- API unter app/api/passkey/: register (Session nötig), authenticate
  (öffentlich, in proxy.ts von der Session-Pflicht ausgenommen), GET/DELETE
  zum Verwalten
- Neuer Tab "Einstellungen" zum Registrieren und Entfernen von Passkeys
- Button "Mit Passkey anmelden" auf der Login-Seite

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

create_table.sql

@@ -16,3 +16,18 @@ CREATE TABLE IF NOT EXISTS Werte_BZG (
   Puls INT NULL COMMENT 'Pulse rate',
   INDEX idx_datum_zeit (Datum, Zeit)
 ) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_general_ci;
+
+-- WebAuthn-Passkeys je Benutzer (Benutzer stammen aus AUTH_USERS).
+-- Die Anwendung legt diese Tabelle beim ersten Zugriff selbst an (lib/passkeys.ts),
+-- sofern der DB-Benutzer CREATE-Rechte hat.
+CREATE TABLE IF NOT EXISTS passkeys (
+  credential_id VARCHAR(255) CHARACTER SET ascii COLLATE ascii_bin NOT NULL PRIMARY KEY,
+  username VARCHAR(64) NOT NULL,
+  public_key VARBINARY(1024) NOT NULL,
+  counter INT UNSIGNED NOT NULL DEFAULT 0,
+  transports VARCHAR(255) NOT NULL DEFAULT '[]',
+  label VARCHAR(80) NOT NULL DEFAULT '',
+  created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
+  last_used_at DATETIME NULL,
+  INDEX idx_passkeys_username (username)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_general_ci;