test(calendar): CalDAV-Selbsttest, und fremde Benutzerpfade sauber abweisen

Der bisherige Selbsttest prueft die JSON-Schnittstelle, also den Weg der
Weboberflaeche. Der CalDAV-Weg -- der, den DAVx5 und Thunderbird gehen --
war nie automatisch geprueft, obwohl er ueber voellig anderen Code
laeuft. Ein gruener Lauf des einen sagt nichts ueber den anderen.

scripts/caldav-selbsttest.py geht ihn jetzt ab: Anmeldung (auch die
Regel, dass das Kontopasswort hier nicht gilt), Auffinden ueber
.well-known samt der Umleitung, der Clients mit GET folgen,
Kalenderliste, PUT/GET/DELETE, If-Match, calendar-query mit Zeitfenster,
calendar-multiget, beide Richtungen zwischen Web und CalDAV
(Ganztagsdatum mit exklusivem DTEND, Terminfarbe als CSS3-Name, RRULE,
EXDATE) und das Umhaengen aus Client-Sicht.

Dabei gefunden und behoben: Ein Pfad, der auf einen *anderen* Benutzer
zeigt, wurde mit einem leeren 207 beantwortet. Kein Datenleck -- die
Antwort ist leer, und der Backend nimmt den angemeldeten Benutzer, nicht
den aus dem Pfad. Aber der Client sieht dann einen Kalenderbestand ohne
Kalender und meldet "nichts gefunden" statt "falsche Adresse": die
stille Variante genau des Fehlers, der bei der Einrichtung schon einmal
Stunden gekostet hat. Jetzt 404. Bewusst nur ablehnen, was sicher fremd
ist; alles Unbekannte geht weiter an go-webdav.

Zwei Luecken bleiben und werden vom Skript als Hinweis gemeldet, weil
go-webdav v0.7.0 nur einen festen Satz Eigenschaften beantwortet und
keinen Haken bietet, eigene dazuzulegen: getctag fehlt (Clients listen
bei jedem Abgleich alles auf, statt billig nach Aenderungen zu fragen)
und calendar-color fehlt (der Kalender erscheint im Client in dessen
Vorgabefarbe -- Terminfarben sind nicht betroffen, die stehen im .ics).

39 Pruefungen gruen, JSON-Selbsttest weiter 36 gruen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/internal/calendar/handler.go

@@ -75,6 +75,17 @@ func (h *Handler) ServeHTTP(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 
+	// Ein Pfad, der auf einen *anderen* Benutzer zeigt, ist ein Fehler und
+	// muss auch so aussehen. Ohne diese Prüfung antwortet go-webdav mit
+	// einem leeren 207: Der Client sieht dann einen Kalenderbestand ohne
+	// Kalender und meldet „nichts gefunden", statt „falsche Adresse" – die
+	// stille Variante desselben Fehlers, die bei der Einrichtung Stunden
+	// kostet.
+	if !pathBelongsTo(r.URL.Path, user.Username) {
+		http.Error(w, "Not Found", http.StatusNotFound)
+		return
+	}
+
 	h.dav.ServeHTTP(w, r.WithContext(contextWithUser(r.Context(), user)))
 }
 
@@ -97,6 +108,25 @@ func (h *Handler) ServeWellKnown(w http.ResponseWriter, r *http.Request) {
 	http.Redirect(w, r, "/caldav/principals-"+user.Username+"/", http.StatusPermanentRedirect)
 }
 
+// pathBelongsTo erkennt Pfade, die auf einen anderen Benutzer zeigen.
+// Bewusst nur ablehnen, was sicher fremd ist: Alles Unbekannte geht weiter
+// an go-webdav, damit diese Prüfung keine Pfade abschneidet, die sie gar
+// nicht kennt.
+func pathBelongsTo(p, username string) bool {
+	rest := strings.Trim(strings.TrimPrefix(p, davPrefix), "/")
+	if rest == "" {
+		return true
+	}
+	seg := strings.Split(rest, "/")
+	switch {
+	case strings.HasPrefix(seg[0], "principals-"):
+		return strings.EqualFold(strings.TrimPrefix(seg[0], "principals-"), username)
+	case seg[0] == "calendars" && len(seg) >= 2:
+		return strings.EqualFold(seg[1], username)
+	}
+	return true
+}
+
 func challenge(w http.ResponseWriter) {
 	w.Header().Set("WWW-Authenticate", `Basic realm="Aether CalDAV - use an app password, not your account password"`)
 	http.Error(w, "Unauthorized - CalDAV requires an app password (Profile -> App passwords)", http.StatusUnauthorized)