Phase 1: Kern mit Plugin-System, Auth/Rollen, Migrations, Plugin-Stubs

- redaktionskern (src/): schlanker Kern — App-Fabrik, Plugin-Loader
  (Entry-Points + plugins/-Verzeichnis), Migrations-Laufzeit
  (schema_migrations pro Plugin, SQLite-/Postgres-portabel),
  Auth mit Argon2id + Session-Cookies, Rollen admin/redakteur/rezensent,
  Benutzerverwaltung für Admins
- plugins/: 8 ladbare Stubs (neuheiten, dedup, planung, archiv,
  erinnerung, benachrichtigung, audit-log, export) nach Plugin-Vertrag
- Frontend: Jinja2 + Tailwind (CDN) + HTMX + Alpine.js, UI deutsch
- Tests: 28 pytest-Fälle (Loader, Lifecycle, Entry-Points, Migrations-
  Idempotenz, Login/Logout, Rollen-Zugriff, Benutzerverwaltung)
- Docker/Podman: Compose (Traefik-Labels) + Dockerfile (uv)
- README.md mit Setup-Anleitung

src/redaktionskern/auth/deps.py

@@ -0,0 +1,48 @@
+"""FastAPI-Abhängigkeiten für Authentifizierung und Rollen."""
+from __future__ import annotations
+
+from fastapi import Depends, Request
+from sqlalchemy.orm import Session
+
+from redaktionskern.auth.models import User
+
+
+class NotAuthenticated(Exception):
+    """Benutzer ist nicht (mehr) angemeldet → Weiterleitung zum Login."""
+
+
+class AccessDenied(Exception):
+    """Benutzer hat die nötige Rolle nicht → 403-Seite."""
+
+
+def get_db(request: Request):
+    """Stellt eine Datenbank-Session pro Anfrage bereit."""
+    db: Session = request.app.state.session_factory()
+    try:
+        yield db
+    finally:
+        db.close()
+
+
+def get_current_user(request: Request, db: Session = Depends(get_db)) -> User | None:
+    user_id = request.session.get("user_id")
+    if user_id is None:
+        return None
+    return db.get(User, user_id)
+
+
+def require_user(user: User | None = Depends(get_current_user)) -> User:
+    if user is None or not user.active:
+        raise NotAuthenticated
+    return user
+
+
+def require_roles(*roles: str):
+    """Abhängigkeits-Fabrik: verlangt eine der angegebenen Rollen."""
+
+    def abhaengigkeit(user: User = Depends(require_user)) -> User:
+        if user.role not in roles:
+            raise AccessDenied(f"Rolle '{user.role}' hat keinen Zugriff.")
+        return user
+
+    return abhaengigkeit