Puppeteer rendert /r/{token} intern von 127.0.0.1 — Allowlist-Check
blockierte auch Loopback-Adressen. Loopback (127.x, ::1, ::ffff:127.)
wird jetzt vor dem Allowlist-Check ausgenommen.
- fix: username-Spalte in DB-DDL ergänzt + Migration für Bestandsdatenbanken;
createSchema in /api/users speichert username jetzt korrekt (war immer NULL)
- feature: IP-Allowlist für Admin-UI — IPs/CIDR-Bereiche in Einstellungen
konfigurierbar; Enforcement in server.ts vor Next.js-Handoff; /api/v1 bleibt
offen; Lockout-Warnung wenn eigene IP nicht in der Liste