Sitzungsdauer einstellbar, bis hin zu unbegrenzt

Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht
ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem
punktgenau nach einer Woche hinaus.

Beides ist jetzt geregelt:

- Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer
  Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach
  Single Sign-on.
- POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die
  eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung
  greift ohne Neuanmeldung.

"Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es
gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln
zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg
(JWT_SECRET aendern).

/auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus
einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein
unwiderruflicher geworden.

Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch,
solange nichts eingestellt ist.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/routers/settings.py

@@ -1,4 +1,4 @@
-from fastapi import APIRouter, Depends
+from fastapi import APIRouter, Depends, HTTPException
 from sqlalchemy.orm import Session
 
 from ..config import get_settings
@@ -14,6 +14,11 @@ EXPIRY_WARNING_KEY = "expiry_warning_days"
 # Treffer vorgeschlagen wird.
 RECEIPT_THRESHOLD_KEY = "receipt_match_threshold"
 RECEIPT_THRESHOLD_DEFAULT = 45
+# Wie lange eine Anmeldung gilt, in Tagen. 0 = unbegrenzt.
+SESSION_DAYS_KEY = "session_days"
+# Zehn Jahre. Wer laenger will, nimmt "unbegrenzt" – ein Token mit einem
+# Ablauf im naechsten Jahrhundert waere dasselbe, nur unehrlicher.
+SESSION_DAYS_MAX = 3650
 
 
 def get_expiry_warning_days(db: Session) -> int:
@@ -37,6 +42,31 @@ def get_receipt_match_threshold(db: Session) -> int:
         return RECEIPT_THRESHOLD_DEFAULT
 
 
+def get_session_days(db: Session) -> int:
+    """Gueltigkeitsdauer einer Anmeldung in Tagen; **0 heisst unbegrenzt**.
+
+    Ohne Eintrag gilt der Rueckfallwert aus der Umgebung
+    (``JWT_EXPIRE_MINUTES``), damit eine frische Installation nicht erst
+    eingestellt werden muss.
+    """
+    vorgabe = max(1, round(get_settings().jwt_expire_minutes / (60 * 24)))
+    row = db.get(Setting, SESSION_DAYS_KEY)
+    if row is None:
+        return vorgabe
+    try:
+        return max(0, min(SESSION_DAYS_MAX, int(row.value)))
+    except ValueError:
+        return vorgabe
+
+
+def get_session_minutes(db: Session) -> int:
+    """Dasselbe in Minuten, wie :func:`create_access_token` es erwartet.
+
+    Die 0 fuer "unbegrenzt" ueberlebt die Umrechnung unveraendert.
+    """
+    return get_session_days(db) * 24 * 60
+
+
 @router.get("", response_model=list[SettingOut])
 def list_settings(
     db: Session = Depends(get_db), _: User = Depends(get_current_user)
@@ -45,6 +75,7 @@ def list_settings(
     known = {r.key: r.value for r in rows}
     known.setdefault(EXPIRY_WARNING_KEY, str(get_expiry_warning_days(db)))
     known.setdefault(RECEIPT_THRESHOLD_KEY, str(get_receipt_match_threshold(db)))
+    known.setdefault(SESSION_DAYS_KEY, str(get_session_days(db)))
     return [SettingOut(key=k, value=v) for k, v in known.items()]
 
 
@@ -55,6 +86,17 @@ def set_setting(
     db: Session = Depends(get_db),
     _: User = Depends(require_admin),
 ) -> SettingOut:
+    if key == SESSION_DAYS_KEY:
+        # Ohne diese Pruefung wuerde get_session_days einen Tippfehler still
+        # auf die Vorgabe zurueckdrehen – und der Admin glaubte, es sei gesetzt.
+        try:
+            tage = int(value)
+        except ValueError:
+            raise HTTPException(400, "Sitzungsdauer muss eine Zahl in Tagen sein (0 = unbegrenzt)")
+        if not 0 <= tage <= SESSION_DAYS_MAX:
+            raise HTTPException(400, f"Sitzungsdauer: 0 (unbegrenzt) bis {SESSION_DAYS_MAX} Tage")
+        value = str(tage)
+
     row = db.get(Setting, key)
     if row is None:
         row = Setting(key=key, value=value)