Passwort-Reset per Einmal-Link (kver reset-link)

Ohne E-Mail-System erzeugt der Admin per CLI einen Link (/reset#<token>),
gültig 72 h und einmal. Gespeichert wird nur der SHA-256 des Tokens; es
steht im Fragment und geht nur im POST-Body an die API. Der Reset meldet
alle alten Sessions ab und loggt direkt neu ein. Passwortregeln jetzt
gemeinsam in checkNewPassword.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

db.go

@@ -82,6 +82,17 @@ CREATE TABLE IF NOT EXISTS report (
     handled    BIGINT NOT NULL DEFAULT 0
 );
 
+-- Einmal-Links zum Passwort-Reset, per CLI erzeugt (kver reset-link, siehe
+-- reset.go). Gespeichert wird nur der SHA-256 des Tokens: wer die DB lesen
+-- kann, kann damit trotzdem kein Passwort setzen.
+CREATE TABLE IF NOT EXISTS password_reset (
+    id         BIGINT GENERATED ALWAYS AS IDENTITY PRIMARY KEY,
+    uid        BIGINT NOT NULL,
+    token_hash TEXT   NOT NULL UNIQUE,
+    created_at BIGINT NOT NULL,
+    expires    BIGINT NOT NULL
+);
+
 -- Indizes für die häufigen Zugriffspfade; ohne sie werden Feed (ORDER BY
 -- last_activity), Thread (WHERE reply_to) und Vote-Zähler (WHERE pid) mit
 -- wachsender Tabelle zu Full-Table-Scans. username/session.value/vote(uid,pid)