Kundenansicht: Waechter-Korrekturen aus dem Abschlussreview

- Pfade ohne Ruecksicht auf Gross-/Kleinschreibung pruefen (/API/news umging die Sperre)
- Tab mit Kennung, Cookie ist keine Kundenansicht mehr -> 409 statt fremder Daten
- Cookie lebt 1 h laenger als die Ansicht, damit 'abgelaufen' gemeldet und protokolliert wird

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

test/kundenansicht.test.js

@@ -69,7 +69,8 @@ test('Einloesen: Sitzung 2 h, Preview-Cookie nur fuer den Kunden, Protokoll geoe
   assert.match(s.viewId, /^[0-9a-f]{32}$/)
   assert.ok(Math.abs(s.viewExpiresAt - (Date.now() + 7200000)) < 5000)
   assert.deepEqual([s.customerId, s.adminName, s.appwriteUserId, s.name], ['c1', 'Andrej', 'u_staff2', 'Kunde Eins'])
-  assert.match(setCookie(res, config.cookieName), /Max-Age=7200/)
+  // Cookie lebt laenger als die Ansicht (2 h + 1 h), damit der Server 'abgelaufen' melden und protokollieren kann
+  assert.match(setCookie(res, config.cookieName), /Max-Age=10800/)
   const preview = await verifyPreviewSessionToken(cookieValue(res, 'preview_session'))
   assert.deepEqual([preview.role, preview.customerId, preview.userId], ['customer', 'c1', 'u_staff2'])
   assert.ok(preview.exp - preview.iat <= 7200)