Review-Batch P0: Sicherheit + Schueler-Ergebnisse + Assessments-Aufblaehung

Sicherheit:
- progress.php: IDOR geschlossen (student_id-Zweig verlangt Lehrer-Login + Klassenbesitz)
- licenses.php: ?admin=1 und generate nur noch fuer echten Admin; Collision-Retry mit Cap
- .htaccess: .env/.sh/.sql/.bak Deny (Defense-in-Depth)

Schueler-Ergebnisse (kritisch):
- sim-metrics.js + .ivm-CSS in schueler.html; renderOwnRunCard-Fallback zeigt jetzt
  Sterne + grafische Kennzahlen fuer die 9 bisher leeren Sims
- sim-metrics.js: klima final_budget als "Mio EUR" statt "EUR" (Faktor 10^6)

Skalierung:
- assessment.php: Zwischen-Pings (phase running/started) nicht mehr persistiert
- heli: 30-s-assessmentPing entfernt (Live-Zustand laeuft ueber Heartbeat)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

App/assets/js/sim-metrics.js

@@ -20,7 +20,7 @@
       {k:'final_temperature',type:'temp',l:'Temperatur'},
       {k:'final_flooded_pct',type:'pctInv',l:'Überflutung'},
       {k:'final_co2',type:'num',l:'CO₂',u:'ppm',dir:'lo'},
-      {k:'final_budget',type:'money',l:'Budget'},
+      {k:'final_budget',type:'num',l:'Budget',u:'Mio €'},
       {k:'final_population',type:'num',l:'Bevölkerung'},
       {k:'measures_bought',type:'num',l:'Maßnahmen'}
     ],