Langlebige API-Tokens fuer externe Zugriffe (Home Assistant)

Die Einkaufsliste war ueber /shopping-list und /shopping-list/groups schon
abrufbar, aber nur mit einem Login-JWT, das nach 7 Tagen ablaeuft - fuer HA
unpraktisch.

- Neue Tabelle api_tokens (Name, SHA-256-Hash, Ersteller, zuletzt genutzt).
  Der Klartext wird nur einmal beim Anlegen zurueckgegeben.
- get_current_user akzeptiert jetzt JWT ODER API-Token im Authorization-Header;
  bei Nutzung wird last_used_at fortgeschrieben.
- Endpunkte /api-tokens (Admin): auflisten, erzeugen, widerrufen.
- Einstellungsseite: Tokens verwalten inkl. einmaliger Anzeige und einem
  aufklappbaren Konfigurationsbeispiel fuer Home Assistant.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

web/src/api.js

@@ -158,6 +158,11 @@ export const api = {
   updateUser: (id, body) => request(`/users/${id}`, { method: "PATCH", body }),
   deleteUser: (id) => request(`/users/${id}`, { method: "DELETE" }),
 
+  // API-Tokens (externe Zugriffe)
+  listApiTokens: () => request("/api-tokens"),
+  createApiToken: (body) => request("/api-tokens", { method: "POST", body }),
+  deleteApiToken: (id) => request(`/api-tokens/${id}`, { method: "DELETE" }),
+
   // Einstellungen
   listSettings: () => request("/settings"),
   setSetting: (key, value) =>