Sitzungsdauer einstellbar, bis hin zu unbegrenzt

Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht
ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem
punktgenau nach einer Woche hinaus.

Beides ist jetzt geregelt:

- Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer
  Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach
  Single Sign-on.
- POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die
  eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung
  greift ohne Neuanmeldung.

"Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es
gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln
zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg
(JWT_SECRET aendern).

/auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus
einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein
unwiderruflicher geworden.

Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch,
solange nichts eingestellt ist.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

web/src/api.js

@@ -154,6 +154,10 @@ export const api = {
   login: (username, password) =>
     request("/auth/login", { method: "POST", form: { username, password } }),
   me: () => request("/auth/me"),
+  // Schiebt die Frist der laufenden Sitzung nach vorn. Wird beim Start
+  // gerufen, damit die eingestellte Dauer ab dem letzten Besuch zaehlt und
+  // nicht ab dem Anmelden.
+  sitzungVerlaengern: () => request("/auth/refresh", { method: "POST" }),
   // Welche Single-Sign-on-Anbieter eingerichtet sind. Kommt vom Server, weil die
   // Oberflaeche keine Build-Variablen kennt – ohne Anbieter bleibt die Liste leer
   // und es taucht kein SSO-Knopf auf.

web/src/auth.jsx

@@ -13,6 +13,22 @@ export function AuthProvider({ children }) {
   // meldet einen ab.
   const [startFehler, setStartFehler] = useState(null);
 
+  // Holt ein frisches Token, damit die eingestellte Dauer ab dem letzten
+  // Besuch zaehlt statt ab dem Anmelden.
+  //
+  // Der Fehler wird geschluckt, weil ein Server- oder Netzfehler hier nichts
+  // kostet: das bisherige Token gilt ja weiter. Ein 401 waere etwas anderes –
+  // um den kuemmert sich bereits die zentrale Abmeldung in api.js, und er kann
+  // direkt nach einem geglueckten me() ohnehin nicht auftreten.
+  async function sitzungVerlaengern() {
+    try {
+      const res = await api.sitzungVerlaengern();
+      setToken(res.access_token);
+    } catch {
+      /* siehe oben */
+    }
+  }
+
   async function pruefen() {
     setStartFehler(null);
     if (!getToken()) {
@@ -21,6 +37,7 @@ export function AuthProvider({ children }) {
     }
     try {
       setUser(await api.me());
+      await sitzungVerlaengern();
     } catch (err) {
       // NUR bei abgelehnter Anmeldung abmelden. Ein 502 waehrend eines
       // Server-Neustarts ist kein Grund, die Sitzung wegzuwerfen.

web/src/pages/Settings.jsx

@@ -11,6 +11,18 @@ import { applyFavicon } from "../branding";
 
 const EXPIRY_KEY = "expiry_warning_days";
 const RECEIPT_KEY = "receipt_match_threshold";
+const SESSION_KEY = "session_days";
+
+// Feste Stufen statt eines Zahlenfeldes: "wie lange bleibe ich angemeldet" ist
+// eine Entscheidung, keine Rechenaufgabe. 0 heisst unbegrenzt.
+const SITZUNGSDAUERN = [
+  { value: "7", label: "7 Tage" },
+  { value: "30", label: "30 Tage" },
+  { value: "90", label: "3 Monate" },
+  { value: "180", label: "6 Monate" },
+  { value: "365", label: "1 Jahr" },
+  { value: "0", label: "Unbegrenzt – nie abmelden" },
+];
 
 export default function Settings() {
   const { reload } = useSettings();
@@ -18,6 +30,7 @@ export default function Settings() {
   const [days, setDays] = useState("");
   const [threshold, setThreshold] = useState("");
   const [dateFormat, setDateFormat] = useState("de");
+  const [sessionDays, setSessionDays] = useState("30");
   const [error, setError] = useState(null);
   const [busy, setBusy] = useState(false);
 
@@ -27,6 +40,7 @@ export default function Settings() {
       setDays(settings.find((s) => s.key === EXPIRY_KEY)?.value ?? "7");
       setThreshold(settings.find((s) => s.key === RECEIPT_KEY)?.value ?? "45");
       setDateFormat(settings.find((s) => s.key === DATE_FORMAT_KEY)?.value ?? "de");
+      setSessionDays(settings.find((s) => s.key === SESSION_KEY)?.value ?? "30");
     } catch (err) {
       setError(err.message);
     }
@@ -41,6 +55,7 @@ export default function Settings() {
       await api.setSetting(EXPIRY_KEY, String(parseInt(days, 10)));
       await api.setSetting(RECEIPT_KEY, String(Math.max(0, Math.min(100, parseInt(threshold, 10) || 0))));
       await api.setSetting(DATE_FORMAT_KEY, dateFormat);
+      await api.setSetting(SESSION_KEY, sessionDays);
       await reload();
       toast("Gespeichert.");
     } catch (err) {
@@ -50,6 +65,13 @@ export default function Settings() {
     }
   }
 
+  // Ein ueber die API gesetzter Zwischenwert (z.B. 60) steht nicht in der Liste.
+  // Ohne diesen Zusatz zeigte die Auswahl nichts an und das Speichern haette den
+  // Wert klammheimlich veraendert.
+  const dauerAuswahl = SITZUNGSDAUERN.some((d) => d.value === sessionDays)
+    ? SITZUNGSDAUERN
+    : [...SITZUNGSDAUERN, { value: sessionDays, label: `${sessionDays} Tage` }];
+
   // Beispiel mit einem festen Datum, damit man die Wirkung sofort sieht.
   const preview = formatDate("2026-12-23", dateFormat);
 
@@ -89,6 +111,31 @@ export default function Settings() {
           sicherere Vorschläge), niedriger = mehr Vorschläge.
         </p>
 
+        <div className="card-head" style={{ marginTop: "var(--sp-5)" }}>
+          <Icon name="users" /><h2>Anmeldung</h2>
+        </div>
+        <label>
+          Angemeldet bleiben für
+          <select value={sessionDays} onChange={(e) => setSessionDays(e.target.value)}>
+            {dauerAuswahl.map((d) => (
+              <option key={d.value} value={d.value}>{d.label}</option>
+            ))}
+          </select>
+        </label>
+        <p className="muted small mt-0">
+          Gilt für die Website und die App gleichermaßen. Die Frist zählt ab dem
+          letzten Besuch – wer regelmäßig vorbeischaut, wird also gar nicht
+          abgemeldet. Geändert wird sie beim nächsten Seitenaufruf übernommen.
+        </p>
+        {sessionDays === "0" && (
+          <p className="muted small mt-0">
+            <Icon name="alert" size={14} /> Unbegrenzt heißt wirklich unbegrenzt:
+            Eine einmal erteilte Anmeldung lässt sich nicht mehr einzeln zurückziehen.
+            Wer alle Geräte aussperren will, muss JWT_SECRET in der .env ändern und
+            den Server neu starten.
+          </p>
+        )}
+
         <div className="card-head" style={{ marginTop: "var(--sp-5)" }}>
           <Icon name="settings" /><h2>Darstellung</h2>
         </div>