Sicherheits-Fixes, toter Code entfernt, Optimierungen

Sicherheit:
- CSRF-Schutz auf allen API-Routes (admin, proposals, files, stats, export)
- authenticateToken vor csrfProtection bei admin/proposals (CSRF-Bypass behoben)
- CORS eingeschränkt auf taskmate.aegis-sight.de
- JWT_SECRET und SESSION_TIMEOUT nicht mehr exportiert
- Tote Auth-Funktionen entfernt (generateCsrfToken, generateToken Legacy)

Toter Code entfernt:
- 6 ungenutzte JS-Dateien (tour, dashboard, 4x contacts-*)
- 2 ungenutzte CSS-Dateien (dashboard, contacts-extended)
- backend/migrations/ Verzeichnis, knowledge.js.backup
- Doppelter bcrypt require in database.js

Optimierung:
- Request-Logging filtert statische Assets (nur /api/ wird geloggt)

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

backend/middleware/auth.js

@@ -15,8 +15,6 @@ if (!JWT_SECRET || JWT_SECRET.length < 32) {
 }
 const ACCESS_TOKEN_EXPIRY = 60; // Minuten (kürzer für mehr Sicherheit)
 const REFRESH_TOKEN_EXPIRY = 7 * 24 * 60; // 7 Tage in Minuten
-const SESSION_TIMEOUT = parseInt(process.env.SESSION_TIMEOUT) || 30; // Minuten
-
 /**
  * JWT Access-Token generieren (kurze Lebensdauer)
  */
@@ -63,13 +61,6 @@ function generateRefreshToken(userId, ipAddress, userAgent) {
   return token;
 }
 
-/**
- * Legacy generateToken für Rückwärtskompatibilität
- */
-function generateToken(user) {
-  return generateAccessToken(user);
-}
-
 /**
  * JWT-Token verifizieren
  */
@@ -120,7 +111,7 @@ function authenticateToken(req, res, next) {
   const refreshThreshold = 5 * 60 * 1000; // 5 Minuten vor Ablauf
 
   if (tokenExp - now < refreshThreshold) {
-    const newToken = generateToken({
+    const newToken = generateAccessToken({
       id: user.id,
       username: user.username,
       display_name: user.displayName,
@@ -203,14 +194,6 @@ function authenticateSocket(socket, next) {
   next();
 }
 
-/**
- * CSRF-Token generieren (für Forms)
- */
-function generateCsrfToken() {
-  const { randomBytes } = require('crypto');
-  return randomBytes(32).toString('hex');
-}
-
 /**
  * Refresh-Token validieren und neuen Access-Token generieren
  */
@@ -272,7 +255,6 @@ function cleanupExpiredTokens() {
 setInterval(cleanupExpiredTokens, 6 * 60 * 60 * 1000);
 
 module.exports = {
-  generateToken,
   generateAccessToken,
   generateRefreshToken,
   refreshAccessToken,
@@ -280,10 +262,7 @@ module.exports = {
   verifyToken,
   authenticateToken,
   authenticateSocket,
-  generateCsrfToken,
   requireAdmin,
   requireRegularUser,
-  checkPermission,
-  JWT_SECRET,
-  SESSION_TIMEOUT
+  checkPermission
 };