Moderation entfernt, JSON-API unter /api

- Moderationsseite und Melde-Funktion (report) komplett ausgebaut; folgt
  als eigenständiges Projekt
- alle API-Endpunkte unter /api, dort ausschließlich JSON: auch 404, 405,
  Rate-Limit (429) und Panics (500)
- Fehler nur über HTTP-Status; stille DB-Fehler in stats, logout und
  Vote-Zählern liefern jetzt 500 statt Nullen
- /auth/headerbar entfernt (Frontend nutzt /api/user/info)
- Frontend auf /api und statusbasierte Auswertung umgestellt
- notes/api.md neu als Referenz der aktuellen API

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01TiXsPUqw7oeomZ8wZrQW5q

db.go

@@ -71,20 +71,6 @@ CREATE TABLE IF NOT EXISTS impression (
     PRIMARY KEY (day, anon_ip, path)
 );
 
--- Meldungen zu Beiträgen (DSA-Melde-/Abhilfeverfahren). Bewusst ohne Auth:
--- jeder darf melden, weil es eine Moderationshilfe ist. uid ist der Melder,
--- vorerst immer 0 (anonym) -- die Spalte existiert nur, um bei Spam später den
--- Absender nachziehen zu können, ohne das Schema zu ändern. handled: 0 offen,
--- 1 von der Moderation erledigt. reason ist ein optionaler Freitext.
-CREATE TABLE IF NOT EXISTS report (
-    id         BIGINT GENERATED ALWAYS AS IDENTITY PRIMARY KEY,
-    pid        BIGINT NOT NULL,
-    uid        BIGINT NOT NULL DEFAULT 0,
-    reason     TEXT   NOT NULL DEFAULT '',
-    created_at BIGINT NOT NULL,
-    handled    BIGINT NOT NULL DEFAULT 0
-);
-
 -- Indizes für die häufigen Zugriffspfade; ohne sie werden Feed (ORDER BY
 -- last_activity), Thread (WHERE reply_to) und Vote-Zähler (WHERE pid) mit
 -- wachsender Tabelle zu Full-Table-Scans. username/session.value/vote(uid,pid)
@@ -94,7 +80,6 @@ CREATE INDEX IF NOT EXISTS idx_entry_reply_to      ON entry(reply_to);
 CREATE INDEX IF NOT EXISTS idx_entry_uid           ON entry(uid);
 CREATE INDEX IF NOT EXISTS idx_vote_pid            ON vote(pid);
 CREATE INDEX IF NOT EXISTS idx_session_uid         ON session(uid);
-CREATE INDEX IF NOT EXISTS idx_report_open         ON report(handled, created_at);
 `
 
 func initDB(dsn string) error {