Sitzungsdauer einstellbar, bis hin zu unbegrenzt

Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht
ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem
punktgenau nach einer Woche hinaus.

Beides ist jetzt geregelt:

- Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer
  Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach
  Single Sign-on.
- POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die
  eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung
  greift ohne Neuanmeldung.

"Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es
gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln
zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg
(JWT_SECRET aendern).

/auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus
einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein
unwiderruflicher geworden.

Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch,
solange nichts eingestellt ist.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ios/Sources/APIClient.swift

@@ -131,6 +131,21 @@ actor APIClient {
         try await send(try makeRequest("/auth/me"), as: MeResponse.self)
     }
 
+    /// Schiebt die Frist der laufenden Sitzung nach vorn.
+    ///
+    /// Ohne das zaehlt die am Server eingestellte Dauer ab dem *Anmelden*: Wer
+    /// die App taeglich benutzt, fliegt trotzdem punktgenau nach Ablauf hinaus.
+    ///
+    /// Bewusst ohne die Erneuerungsschicht: Ein 401 heisst hier, dass die
+    /// Sitzung wirklich vorbei ist – dann gehoert sie beendet und nicht ueber
+    /// einen Umweg gerettet.
+    func sitzungVerlaengern() async throws -> TokenResponse {
+        let request = try makeRequest("/auth/refresh", method: "POST")
+        let (daten, antwort) = try await URLSession.shared.data(for: request)
+        try check(antwort, data: daten)
+        return try JSONDecoder().decode(TokenResponse.self, from: daten)
+    }
+
     /// Am Server eingerichtete Anmeldedienste. Leere Liste = nur Passwort-Login.
     func oidcProviders() async throws -> [OidcProviderResponse] {
         let (daten, antwort) = try await URLSession.shared.data(

ios/Sources/RootView.swift

@@ -23,6 +23,9 @@ struct RootView: View {
             if session.isLoggedIn {
                 await display.load()
                 await session.refreshMe()
+                // Nach refreshMe, damit eine wirklich abgelaufene Sitzung erst
+                // sauber endet, statt hier noch verlaengert zu werden.
+                await session.sitzungVerlaengern()
             }
         }
         // Shortcut/URL öffnet den passenden Scan-Bildschirm direkt; eine

ios/Sources/Session.swift

@@ -224,6 +224,24 @@ final class Session: ObservableObject {
             // kurzer Netzausfall einen nicht aus der App wirft.
         }
     }
+
+    /// Holt beim Start ein frisches Token, damit die am Server eingestellte
+    /// Sitzungsdauer ab dem letzten Besuch zaehlt und nicht ab dem Anmelden.
+    ///
+    /// Schluckt jeden Fehler: Ein aelterer Server kennt /auth/refresh noch gar
+    /// nicht (404), und eine wirklich abgelaufene Sitzung hat refreshMe() einen
+    /// Schritt vorher schon beendet. Hier deshalb nie abmelden.
+    @MainActor
+    func sitzungVerlaengern() async {
+        guard isLoggedIn, let profil = activeProfile else { return }
+        guard let neu = try? await APIClient.shared.sitzungVerlaengern() else { return }
+        // oidcSlug MUSS mitgegeben werden: store() setzt das Feld immer, und
+        // ohne ihn verloere das Profil seinen Anmeldedienst – die stille
+        // Erneuerung nach einem 401 fiele damit aus.
+        store(token: neu.accessToken, username: neu.username,
+              isAdmin: neu.role == "admin", persist: stayLoggedIn,
+              oidcSlug: profil.oidcSlug)
+    }
 }
 
 /// Minimaler Keychain-Zugriff für ein einzelnes Token.