feat: Backend mit OIDC-Anmeldung, Apps und Einstellungen im Server

Aus der statischen Seite wird ein Go-Binary mit eingebetteter Oberfläche.
Grund: Apps über .env zu pflegen wurde unübersichtlich, und kosmetische
Einstellungen sollen auf jedem Gerät gleich sein.

- Anmeldung über den eigenen OIDC-Anbieter (PocketID), mit PKCE. Ohne
  Anmeldung gibt es nichts zu sehen – auch keine App-Liste.
- Sitzung als signiertes Cookie ohne Gegenstück im Server; Schreibzugriffe
  zusätzlich über ein lesbares CSRF-Cookie abgesichert
- Apps werden in der Oberfläche angelegt und bearbeitet, nicht mehr in der
  .env. Der Server prüft jeden Eintrag und meldet zurück, was er behält.
- Einstellungen liegen je Nutzer im Server; localStorage ist nur noch der
  Vorschuss, damit die Röhre beim Laden nicht in der falschen Farbe blitzt
- die Leiste holt die App-Liste aus /api/apps – freigegeben sind allein die
  Ursprünge, die selbst als App eingetragen sind
- Tests fahren einen echten OIDC-Anbieter hoch und gehen den Anmeldeweg
  einmal ganz durch

Ohne HONEYOS_OIDC_ISSUER läuft alles offen – für die Entwicklung, mit
deutlicher Warnung beim Start.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

web/honeybar/demo.html

@@ -36,6 +36,6 @@
       <p>Eine App, die mit <code>100vh</code> rechnet, nimmt <code>--honeybar-h</code> ab.</p>
     </main>
 
-    <script src="./honeybar.js" data-app="inknote" data-home="../index.html"></script>
+    <script src="./honeybar.js" data-app="inknote" data-home="/"></script>
   </body>
 </html>

web/honeybar/honeybar.js

@@ -12,7 +12,7 @@
  *
  * data-Attribute am <script>:
  *   data-app    (Pflicht) id der App, in der die Leiste steckt
- *   data-apps   URL zu einer config.json; ohne das gilt die Liste unten
+ *   data-apps   URL der App-Liste; ohne das /api/apps neben dem Skript
  *   data-home   URL des HoneyOS-Desktops
  *   data-push   "body" (Standard) schiebt den Seiteninhalt nach unten,
  *               "none" legt die Leiste darüber
@@ -34,18 +34,18 @@
   const BAR_H = 32;
   const LS_HIDDEN = "honeybar.hidden";
 
-  const DEFAULT_APPS = [
-    { id: "honeyos", name: "DESKTOP", url: "https://os.honeyy.duckdns.org" },
-    { id: "aether", name: "AETHER", url: "https://cloud.honeyy.duckdns.org" },
-    { id: "inknote", name: "INKNOTE", url: "https://notes.honeyy.duckdns.org" },
-  ];
+  // Notliste, falls der Server nichts herausgibt: nur der Weg zurück zum
+  // Schreibtisch. Erfundene App-Adressen stünden hier sonst ewig fest.
+  const DEFAULT_APPS = [{ id: "honeyos", name: "DESKTOP", url: "" }];
 
   const current = d("app", "");
-  const homeUrl = d("home", "https://os.honeyy.duckdns.org");
+  // Ohne data-home führt der Weg zurück dorthin, wo dieses Skript herkommt.
+  const homeUrl = d("home", script ? new URL("/", script.src).href : "/");
   const pushMode = d("push", "body");
-  // Ohne data-apps holt die Leiste die Konfiguration neben ihrem eigenen
-  // Skript — dieselbe Datei, die der Desktop liest.
-  const appsUrl = d("apps", script ? new URL("../config.json", script.src).href : "");
+  // Ohne data-apps fragt die Leiste den HoneyOS-Server, von dem sie selbst
+  // geladen wurde. Er gibt die Liste nur an angemeldete Browser heraus und
+  // nur an Ursprünge, die selbst als App eingetragen sind.
+  const appsUrl = d("apps", script ? new URL("../api/apps", script.src).href : "");
 
   let apps = DEFAULT_APPS;
 
@@ -268,15 +268,18 @@
 
     if (appsUrl) {
       try {
-        const res = await fetch(appsUrl, { cache: "no-store" });
+        // credentials: die Sitzung liegt auf der HoneyOS-Domain, und die ist
+        // dieselbe Site wie diese hier — sonst käme das Cookie nicht mit.
+        const res = await fetch(appsUrl, { cache: "no-store", credentials: "include" });
         if (res.ok) {
-          const cfg = await res.json();
-          if (Array.isArray(cfg.apps) && cfg.apps.length) {
-            apps = [{ id: "honeyos", name: "DESKTOP", url: homeUrl }].concat(cfg.apps);
+          const list = await res.json();
+          if (Array.isArray(list) && list.length) {
+            apps = [{ id: "honeyos", name: "DESKTOP", url: homeUrl }].concat(list);
           }
         }
       } catch {
-        /* Liste nicht erreichbar → eingebaute Liste, Leiste funktioniert trotzdem */
+        /* nicht angemeldet, kein CORS, kein Netz → eingebaute Liste;
+           die Leiste bleibt ein Umschalter, nur ohne frische Namen */
       }
     }