Auth Phase 2: Session-Zugriffe kanalisieren (verhaltensneutral)

Vorbereitung für den JWT+Redis-Umschalter: alle verstreuten
$_SESSION['teacher_id'|admin_id']-Zugriffe laufen jetzt durch Session::-Helper,
damit der Backend-Tausch später EINE Datei (Session.php) ist statt 18 Stellen.

- Session.php: neue Admin-Helper adminId()/loginAdmin()/logoutAdmin()/
  requireAdmin() (mirror der Teacher-Helper). teacherId()/adminId() starten
  die Session jetzt lazy (Aufrufer müssen Session::start() nicht mehr).
- 18 Fundstellen kanalisiert (admin.php, admin-accounts, admin-modules,
  licenses, levels, waypoints, foto-upload, admin_gate, save_map).
- Country.php + app.php cockpit_href: über Session:: mit class_exists-Fallback
  (Bootstrap/Lib-Kontext, Session evtl. nicht geladen).

Verhaltensneutral: 14/14 Lint OK, Helper-Round-Trip 6/6 PASS, Live-Smoke
(admin status/modules/accounts/licenses) weist unauth. Requests wie bisher
mit 401/403 ab. AUTH_BACKEND bleibt 'session' — Live unverändert.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

App/php/api/admin-accounts.php

@@ -12,13 +12,13 @@
 
 if (session_status() === PHP_SESSION_NONE) session_start();
 
-if (empty($_SESSION['admin_id'])) {
+if (!Session::adminId()) {
     http_response_code(401);
     echo json_encode(['error' => 'Nicht eingeloggt']);
     exit;
 }
 
-$meId = (int)$_SESSION['admin_id'];
+$meId = Session::adminId();
 $db   = Database::get();
 
 if ($_SERVER['REQUEST_METHOD'] !== 'POST') {

App/php/api/admin-modules.php

@@ -10,7 +10,7 @@
 
 if (session_status() === PHP_SESSION_NONE) session_start();
 
-if (empty($_SESSION['admin_id'])) {
+if (!Session::adminId()) {
     http_response_code(401);
     echo json_encode(['error' => 'Nicht eingeloggt']);
     exit;

App/php/api/admin.php

@@ -68,7 +68,7 @@ if ($action === 'verify_pin') {
     $db->execute('UPDATE admin_pins SET used = 1 WHERE id = ?', [$valid['id']]);
 
     // Admin-Session aktivieren
-    $_SESSION['admin_id'] = $adminId;
+    Session::loginAdmin((int)$adminId);
     unset($_SESSION['admin_pending']);
 
     Response::ok(['message' => 'Anmeldung erfolgreich.']);
@@ -76,8 +76,7 @@ if ($action === 'verify_pin') {
 
 // === STATUS ===
 if ($action === 'status') {
-    Session::start();
-    $adminId = $_SESSION['admin_id'] ?? null;
+    $adminId = Session::adminId();
     if ($adminId) {
         $admin = $db->fetchOne('SELECT id, username FROM admin_users WHERE id = ?', [$adminId]);
         Response::ok(['authenticated' => true, 'admin' => $admin]);
@@ -87,8 +86,7 @@ if ($action === 'status') {
 
 // === LOGOUT ===
 if ($action === 'logout') {
-    Session::start();
-    unset($_SESSION['admin_id'], $_SESSION['admin_pending']);
+    Session::logoutAdmin();
     Response::ok();
 }
 

App/php/api/levels.php

@@ -25,8 +25,7 @@ if ($method === 'GET') {
 
 if ($method === 'POST') {
     // Admin check
-    Session::start();
-    $adminId = $_SESSION['admin_id'] ?? null;
+    $adminId = Session::adminId();
     $teacherId = Session::teacherId();
     if (!$adminId && !$teacherId) Response::error('Nicht autorisiert', 401);
 

App/php/api/licenses.php

@@ -13,8 +13,7 @@ $db = Database::get();
 if ($method === 'GET') {
     // Super-Admin: alle Lizenzen
     if (isset($_GET['admin']) && $_GET['admin'] === '1') {
-        Session::start();
-        $adminId = $_SESSION['admin_id'] ?? null;
+        $adminId = Session::adminId();
         if (!$adminId) {
             Response::error('Nicht autorisiert', 401);
         }
@@ -170,8 +169,7 @@ if ($method === 'POST') {
 
     // Super-Admin: neue Lizenzen generieren (NUR echter Admin)
     if ($action === 'generate') {
-        Session::start();
-        if (empty($_SESSION['admin_id'])) Response::error('Nur Admin', 403);
+        if (!Session::adminId()) Response::error('Nur Admin', 403);
         $count = min(1000, max(1, (int)($body['count'] ?? 100)));
         $year = (int)($body['year'] ?? date('Y'));
         $schoolYear = ($year % 100) . '/' . (($year % 100) + 1);

App/php/api/waypoints.php

@@ -21,8 +21,7 @@ if ($method === 'GET') {
 }
 
 if ($method === 'POST') {
-    Session::start();
-    $adminId = $_SESSION['admin_id'] ?? null;
+    $adminId = Session::adminId();
     $teacherId = Session::teacherId();
     if (!$adminId && !$teacherId) Response::error('Nicht autorisiert', 401);