Sitzungsdauer einstellbar, bis hin zu unbegrenzt

Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht
ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem
punktgenau nach einer Woche hinaus.

Beides ist jetzt geregelt:

- Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer
  Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach
  Single Sign-on.
- POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die
  eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung
  greift ohne Neuanmeldung.

"Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es
gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln
zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg
(JWT_SECRET aendern).

/auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus
einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein
unwiderruflicher geworden.

Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch,
solange nichts eingestellt ist.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/security.py

@@ -31,7 +31,9 @@ def verify_password(password: str, password_hash: str | None) -> bool:
         return False
 
 
-def create_access_token(user_id: int, role: str) -> str:
+def create_access_token(
+    user_id: int, role: str, gueltig_minuten: int | None = None
+) -> str:
     """Stellt ein Sitzungs-Token aus, das den Benutzer ueber seine ID benennt.
 
     Frueher stand hier der Benutzername. Damit war der Name die Kennung der
@@ -41,9 +43,18 @@ def create_access_token(user_id: int, role: str) -> str:
     ``uid`` steht zusaetzlich zu ``sub`` drin, damit sich alte Token (``sub`` =
     Name) eindeutig von neuen unterscheiden lassen – ein Benutzer koennte sonst
     schlicht "42" heissen.
+
+    ``gueltig_minuten`` kommt aus der Einstellung ``session_days``; ``None``
+    nimmt den Rueckfallwert aus der Umgebung. **0 heisst unbegrenzt** – dann
+    bekommt das Token gar kein ``exp`` und laeuft nie ab. Diese Wahl ist
+    bewusst folgenreich: Ein ausgestelltes Token laesst sich nicht
+    zurueckrufen, es gibt keine Sperrliste. Wer alle Anmeldungen beenden will,
+    muss JWT_SECRET aendern.
     """
-    expire = datetime.now(timezone.utc) + timedelta(minutes=settings.jwt_expire_minutes)
-    payload = {"sub": str(user_id), "uid": user_id, "role": role, "exp": expire}
+    minuten = settings.jwt_expire_minutes if gueltig_minuten is None else gueltig_minuten
+    payload: dict = {"sub": str(user_id), "uid": user_id, "role": role}
+    if minuten > 0:
+        payload["exp"] = datetime.now(timezone.utc) + timedelta(minutes=minuten)
     return jwt.encode(payload, settings.jwt_secret, algorithm=settings.jwt_algorithm)