feat(aether): initial commit – self-hosted Cloud, Phasen 1–7

Go-Backend (chi, pgx, golang-migrate) + React/TS-Frontend als PWA.
Enthalten: Auth inkl. OIDC, Dateien mit Versionen und Papierkorb,
Freigaben (Links + intern), WebDAV, Gruppenordner, Admin/Theming,
Volltextsuche mit OCR, eigener PDF-Betrachter und WOPI-Office
(Collabora/OnlyOffice).

Nicht im Repo: deploy/.env (Sitzungsschlüssel, DB- und Admin-Passwort)
sowie alle Daten- und Build-Verzeichnisse – siehe .gitignore.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/pkg/db/migrations/000009_app_passwords.up.sql

@@ -0,0 +1,15 @@
+-- App-Passwörter: widerrufbare Zugangsdaten für WebDAV-/Sync-Clients, damit das
+-- Hauptpasswort nicht auf Geräten liegt, die man verlieren kann.
+CREATE TABLE app_passwords (
+    id            UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    user_id       UUID NOT NULL REFERENCES users(id) ON DELETE CASCADE,
+    name          TEXT NOT NULL,
+    -- SHA-256 des Tokens. Kein Argon2: das Token ist serverseitig zufällig und
+    -- hochentropisch, also nicht ratbar – und WebDAV authentifiziert jeden
+    -- einzelnen Request, wo Argon2 pro Aufruf zu teuer wäre.
+    token_hash    TEXT NOT NULL UNIQUE,
+    last_used_at  TIMESTAMPTZ,
+    created_at    TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+CREATE INDEX idx_app_passwords_user ON app_passwords(user_id);