feat: Konten sichtbar, Kontingent je Token, Plattenwaechter, Umbenennen im Verlauf

KONTEN SICHTBAR. Es gab zwei -- "admin" und eines aus Discord -- und KEINE
Stelle, an der man sie sehen konnte. Weil jeder mit der Rolle auf dem
Discord-Server beim ersten Anmelden still ein Konto bekommt, waeren aus zwei
unbemerkt zwanzig geworden: man erfaehrt es nicht, und wegnehmen ging auch
nicht.

Jetzt eine Liste mit Weg (Discord/Passwort), angelegt, zuletzt da und offenen
Sitzungen. Die Spalte "Weg" ist dabei die wichtigere Auskunft als der Name: ein
Discord-Konto haengt an einer Rolle, die jemand anders vergibt.

Zwei Sperren, beide mit Grund: das EIGENE Konto laesst sich hier nicht
entfernen -- das ist keine Bevormundung, sondern die Vermeidung des einen
Klicks, nach dem niemand mehr hereinkommt -- und das LETZTE auch nicht. Die
Rueckfrage sagt bei einem Discord-Konto dazu, dass die naechste Anmeldung ein
neues anlegt, solange die Rolle bleibt; sonst haelt jemand das Entfernen fuer
eine Aussperrung.

"zuletzt da" wird hoechstens einmal je Stunde geschrieben. Bei jedem Aufruf
waere es ein UPDATE je Anfrage, und das Dashboard stellt beim Blaettern durch
3600 Bilder eine Menge davon.

KONTINGENT JE TOKEN. max_bytes gab es laengst, aber es galt JE DATEI: ein Token
mit "hoechstens 2 MB je Bild" konnte trotzdem die Platte fuellen, es brauchte
nur genug Bilder. quota_bytes gilt fuer alles zusammen, gezaehlt ueber
media.token_id -- also ueber das, was wirklich liegt, statt ueber einen
mitlaufenden Zaehler, der auseinanderlaufen kann.

Auf BEIDEN Wegen geprueft, eigene API und Fivemanage-Weg: eine Grenze, die nur
an einer von zwei Tueren haengt, ist keine.

Die erste Fassung meldete "haelt 0.0 MB von 0.0 MB, und diese Datei braucht 0.0
MB" -- formal richtig, praktisch die Meldung, die genau die Frage nicht
beantwortet, wegen der man sie liest. Die Einheit waechst jetzt mit: "haelt 12
KB von 20 KB, und diese Datei braucht 12 KB."

PLATTENWAECHTER. Meldet bei 80, 90 und 95 Prozent, je Stufe genau einmal; wird
wieder Platz frei, meldet der naechste Engpass erneut. Der Grund steht in der
Meldung: eine volle Platte ist der eine Zustand, in dem gleichzeitig nichts mehr
hereinkommt UND die Sicherung nicht mehr schreiben kann.

Gemessen, und die Abweichung zu df ist gewollt:

    gesamt         1006,9 GB
    frei (bavail)   909,5 GB  ->  9,7 % belegt   <- was der Waechter sieht
    frei (bfree)    960,7 GB  ->  4,6 % belegt
    df sagt                        5 %

bavail zieht die ext4-Reserve ab, an die der Dienst als Nicht-root ohnehin nicht
herankommt. Er warnt damit etwas frueher -- die richtige Richtung. Wer spaeter
den Unterschied zu df sucht, findet ihn als Kommentar an Ort und Stelle.

Dabei fiel ein SCHLAFENDER FEHLER auf: der Merker gegen Wiederholungen lag unter
EINEM Schluessel fuer alle Wachhunde. Mit zwei davon haetten sie sich
gegenseitig ueberschrieben -- einer meldet, der andere haelt daraufhin seinen
eigenen Zustand fuer neu und meldet auch, oder schweigt, obwohl sich etwas
geaendert hat. Der Merker haengt jetzt am Anlass.

UMBENENNEN IM VERLAUF. Stand dort als "verschoben". Technisch stimmt das, fuer
den Leser nicht: verschoben heisst "liegt woanders", umbenannt heisst "heisst
anders, liegt noch da" -- und genau diesen Unterschied schlaegt man im Verlauf
nach. Eigene Art mit eigenem Zeichen. Die Filterleiste kennt jetzt auch move und
rename, die vorher gar nicht filterbar waren.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ROADMAP.md

@@ -727,6 +727,67 @@ Token, was damit abgelegt wurde: `media.token_id` wird seit dem ersten Tag
 geschrieben und war **nirgends** zu sehen. Gemessen: `d4rk_photostudio` hält 810
 Dateien / 99,5 MB, 3640 Dateien liegen ohne Token da (aus dem Dashboard).
 
+### ✅ Fertig — Konten, Kontingent, Plattenwächter, Umbenennen im Verlauf
+
+**Konten sichtbar.** Es gab zwei — `admin` und eines aus Discord — und **keine
+Stelle, an der man sie sehen konnte**. Weil jeder mit der Rolle auf dem
+Discord-Server beim ersten Anmelden still ein Konto bekommt, wären aus zwei
+unbemerkt zwanzig geworden. Jetzt: Liste unter *Einstellungen → Konten* mit
+Weg (Discord/Passwort), angelegt, zuletzt da, offene Sitzungen — und ein
+Entfernen, das die Sitzungen mitnimmt.
+
+Zwei Sperren, beide mit Grund: das **eigene** Konto lässt sich hier nicht
+entfernen (der eine Klick, nach dem niemand mehr hereinkommt), und das
+**letzte** auch nicht. Und die Rückfrage sagt bei einem Discord-Konto dazu, dass
+die nächste Anmeldung ein neues anlegt, solange die Rolle bleibt — sonst hält
+jemand das Entfernen für eine Aussperrung.
+
+**Kontingent je Token.** `max_bytes` gab es längst, aber es galt **je Datei**:
+ein Token mit „höchstens 2 MB je Bild" konnte trotzdem die Platte füllen, es
+brauchte nur genug Bilder. `quota_bytes` gilt für alles zusammen, gezählt über
+`media.token_id` — also über das, was wirklich liegt, statt über einen
+mitlaufenden Zähler, der auseinanderlaufen kann. Auf **beiden** Wegen geprüft
+(eigene API und Fivemanage-Weg): eine Grenze, die nur an einer von zwei Türen
+hängt, ist keine.
+
+> Die erste Fassung meldete *„hält 0.0 MB von 0.0 MB, und diese Datei braucht
+> 0.0 MB"* — formal richtig, praktisch die Meldung, die genau die Frage nicht
+> beantwortet, wegen der man sie liest. Die Einheit wächst jetzt mit:
+> **„hält 12 KB von 20 KB, und diese Datei braucht 12 KB."**
+
+**Plattenwächter.** Meldet nach Discord bei 80 % (knapp), 90 % (eng) und 95 %
+(kritisch) — je Stufe genau einmal, und wenn wieder Luft ist, meldet der nächste
+Engpass erneut. Der Grund steht in der Meldung: eine volle Platte ist der eine
+Zustand, in dem gleichzeitig nichts mehr hereinkommt **und die Sicherung nicht
+mehr schreiben kann**.
+
+Gemessen — und die Abweichung zu `df` ist gewollt:
+
+```
+gesamt         1006,9 GB
+frei (bavail)   909,5 GB  ->  9,7 % belegt   <- was der Wächter sieht
+frei (bfree)    960,7 GB  ->  4,6 % belegt
+df sagt                        5 %
+```
+
+`bavail` zieht die ext4-Reserve ab, an die der Dienst als Nicht-root ohnehin
+nicht herankommt. Er warnt damit etwas früher — die richtige Richtung.
+
+> Dabei fiel ein **schlafender Fehler** auf: der Merker gegen Wiederholungen
+> lag unter **einem** Schlüssel für alle Wachhunde. Mit zwei davon hätten sie
+> sich gegenseitig überschrieben — einer meldet, der andere hält daraufhin
+> seinen Zustand für neu. Der Merker hängt jetzt am Anlass.
+
+**Umbenennen im Verlauf.** Stand dort als „verschoben". Technisch stimmt das,
+für den Leser nicht: verschoben heißt „liegt woanders", umbenannt heißt „heißt
+anders, liegt noch da" — und genau diesen Unterschied schlägt man im Verlauf
+nach. Eigene Art mit eigenem Zeichen; die Filterleiste kennt jetzt auch
+`move` und `rename`, die vorher gar nicht filterbar waren.
+
+**Und der Einzeiler im Fotostudio** ist gesetzt: `Upload.exists` fragt über
+`/api/exists?pfad=…` statt über den Pfad, mit dem Grund als Kommentar daneben.
+Syntaktisch gegengeprüft (`luac -p`).
+
 ### ⬜ Als Nächstes
 
 **Der Vergleichsmaßstab ist weg.** Am 11.08.2026 sind die Lite-Container