feat: Phase 5 — Härtung (CSRF, Rate-Limit, Validation, Error Boundary, README)

Schritt 28 — CSRF-Schutz (Double Submit Cookie Pattern):
- server/middleware/csrf.js: generiert 32-Byte-Token, speichert in Session + Cookie;
  validiert X-CSRF-Token-Header auf POST/PUT/PATCH/DELETE via timingSafeEqual
- server/auth.js: CSRF-Token beim Login erzeugen und als Cookie setzen
- public/api.js: getCsrfToken() liest Cookie; apiFetch() sendet Header auf
  state-ändernden Requests automatisch

Schritt 29 — Globaler Rate-Limiter:
- server/index.js: apiLimiter (300 req/min/IP) auf allen /api/-Routen;
  ergänzt den bestehenden loginLimiter (5 req/min)

Schritt 27 — Zentralisierte Eingabe-Validierung:
- server/middleware/validate.js: str(), oneOf(), date(), time(), num(), color(),
  collectErrors() mit einheitlichen Längengrenzen (MAX_TITLE=200, MAX_TEXT=5000)
- server/routes/tasks.js: validateTaskInput() nutzt nun validate.js

Schritt 31 — Frontend Error Boundary:
- public/router.js: window.onerror + unhandledrejection-Handler zeigen Toast

Schritt 33 — README.md:
- Setup-Anleitung (Docker + Node.js), Nginx-Config, User-Verwaltung,
  Umgebungsvariablen-Referenz, Backup, Sicherheitsübersicht

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

public/router.js

@@ -217,6 +217,26 @@ function showToast(message, type = 'default', duration = 3000) {
 // Event-Listener
 // --------------------------------------------------------
 
+// --------------------------------------------------------
+// Globale Fehler-Handler (Error Boundary)
+// --------------------------------------------------------
+
+window.addEventListener('error', (e) => {
+  // Ressource-Ladefehler (z.B. fehlgeschlagenes Bild): ignorieren
+  if (e.target && e.target !== window) return;
+  console.error('[Oikos] Unbehandelter Fehler:', e.error ?? e.message);
+  showToast('Ein unerwarteter Fehler ist aufgetreten.', 'danger');
+});
+
+window.addEventListener('unhandledrejection', (e) => {
+  // Auth-Fehler werden bereits von auth:expired behandelt
+  if (e.reason?.status === 401) return;
+  console.error('[Oikos] Unbehandeltes Promise-Rejection:', e.reason);
+  const msg = e.reason?.message || 'Ein Fehler ist aufgetreten.';
+  showToast(msg, 'danger');
+  e.preventDefault(); // Konsolenfehler unterdrücken (bereits geloggt)
+});
+
 // Browser zurück/vor
 window.addEventListener('popstate', (e) => {
   navigate(e.state?.path || location.pathname, false);