security(sharing): Freigabelink prüft die Prüfsumme, Gruppenordner teilbar

Beim Lesen von internal/sharing fiel eine ungleiche Zusage auf: Der
angemeldete Download prüft seit dem 12.09. die SHA-256-Summe beim Ausliefern
und lässt die Verbindung fallen, wenn sie nicht stimmt. Der öffentliche
Freigabelink lief durch ein blankes io.Copy – ungeprüft.

Ausgerechnet der Weg nach draussen. Wer die Datei angemeldet holt, ist der
Eigentümer und merkt, wenn etwas kaputt ist; wer einen Link bekommt, merkt es
nicht. In CLAUDE.md steht das unter „nicht verhandelbar": beim Upload
berechnen, beim Download verifizieren. Die Regel galt an einer von zwei
Stellen. Die Mechanik liegt jetzt in files/verified.go und wird von beiden
gerufen. Nachgewiesen mit gekipptem Bit auf der Platte: Über den Freigabelink
kommt die Datei ebenfalls nicht mehr vollständig an.

Gruppenordner: Create übergab user.ID statt des aufgelösten Prinzipals – eine
Datei im Gruppenordner liess sich nicht verlinken, auch nicht vom Mitglied.
Marcs Entscheidung: Das soll gehen, der Empfänger sieht ohnehin nur die Datei,
nie den Ordner darum. Verlangt wird Schreibrecht: Einen Link zu erzeugen
heisst, die Datei öffentlich zu machen; wer sie nur geliehen lesen darf, soll
sie nicht weiterreichen können (403).

expires_in_hours hatte keine Obergrenze. time.Duration rechnet in
Nanosekunden; ab etwa 2,6 Mio Stunden läuft int64 über, die Dauer wird negativ,
und der Link ist abgelaufen in dem Moment, in dem er entsteht – ohne
Fehlermeldung. Jetzt zehn Jahre, darüber 400.

Dazu X-Content-Type-Options: nosniff, das der angemeldete Weg längst setzt.

Sechs Go-Tests für internal/sharing, unter Mutation nachgewiesen:
Eigentümerprüfung entfernt, Ablaufprüfung entfernt und Token verkürzt machen
jeweils genau den zugehörigen Test rot.

Selbsttests erweitert: sharing 24 → 31 Prüfungen, pruefsumme 14 → 16.

Geprüft: go build/vet sauber, alle Go-Pakete grün, 241 Prüfungen der sieben
Selbsttest-Suiten grün, 48 Vitest-Tests.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

BEFUNDE.md

@@ -8,7 +8,8 @@
 > |---|---|
 > | Punkte 1, 2, 2b, 3 (teilweise) | ✅ erledigt |
 > | Go-Tests `documents`, `tags` | ✅ 12 Testfunktionen |
-> | Go-Tests `sharing`, `rescan`, `audit`, `thumbnails` | **offen** |
+> | Go-Tests `sharing` | ✅ 6 Testfunktionen (25.09.) |
+> | Go-Tests `rescan`, `audit`, `thumbnails` | **offen** |
 > | Frontend-DOM-Tests | ✅ jsdom seit 18.09., 46 Tests |
 >
 > Dazwischen lag eine Woche Oberflächenarbeit, die hier nicht auftaucht, weil
@@ -180,7 +181,7 @@ Zwei Tests in `pkg/middleware/logger_test.go` halten es fest.
 |---|---:|---:|---|
 | `internal/tags` | 1338 | **4** ✅ | keine |
 | `internal/documents` (OCR, Volltext) | 1243 | **8** ✅ | keine |
-| `internal/sharing` | 347 | **0** | Python-Selbsttest, 24 Prüfungen |
+| `internal/sharing` | 347 | **6** ✅ | Python-Selbsttest, 31 Prüfungen |
 | `internal/rescan` | 435 | **0** | Python-Selbsttest, 20 Prüfungen |
 | `internal/audit` | 180 | **0** | keine |
 | `internal/thumbnails` | 95 | **0** | keine |