feat: die Archive lassen sich aus dem Panel holen

Einstellungen -> "Sicherungen holen": die fertigen Archive mit Datum, Groesse
und einem Knopf. Der erste Schritt, der eine Kopie VON DIESEM RECHNER HERUNTER
bringt -- bisher haette man sich dafuer per Fernwartung auf den Server klicken
muessen, und genau daran hat es gelegen. Nicht Unwille, sondern
Umstaendlichkeit.

Der Ordner haengt NUR LESEND in den Container. Ein Dienst, der seine eigenen
Sicherungen loeschen kann, ist genau das Werkzeug, das man einem uebernommenen
Dienst nicht in die Hand geben will. Nachgemessen im Container:

    touch /sicherungen/probe  ->  Read-only file system

Und es gibt NUR EINE FORM VON NAMEN -- nicht "alles ausser .. und /", sondern
ein Muster, das genau auf die eigenen Archive passt. Wer einen Pfad
hineinschmuggeln will, muesste ihn erst so benennen. Das ist der Unterschied
zwischen dicht gemacht und dicht gebaut:

    ../../etc/passwd                -> 404
    ..%2f..%2fdata%2fmedia.db       -> 400
    media.db                        -> 400
    <archiv>.tar.gz.evil            -> 400
    ohne Anmeldung                  -> 401

Der ganze Weg einmal wirklich gegangen, nicht nur die Kopfzeilen: 336 MB in
15,9 s durch den Proxy, sha256 auf der Platte gleich sha256 heruntergeladen,
tar tzf zeigt 4639 Eintraege. Gestroemt und nicht in den Speicher gelesen --
sonst haetten Dienst UND Proxy die 336 MB gleichzeitig im Arbeitsspeicher.

Jeder Griff steht im Verwaltungs-Verlauf. Geloggt wird der GRIFF und nicht der
Erfolg: ein abgebrochener Download taucht ebenfalls auf, und das ist gewollt --
wer spaeter fragt, wer sich den Bestand geholt hat, will die Anfrage sehen.

Die fuenf neuen Pruefungen sind in tools/rundgang.py mit drin; der steht jetzt
bei 29 in Ordnung, 0 nicht.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tools/rundgang.py

@@ -89,7 +89,8 @@ if r.stdout != '200':
 print('\n-- Was ohne Anmeldung dicht sein muss ' + '-' * 32)
 for weg in ('/api/dash/media', '/api/dash/tokens', '/api/dash/verlauf/export',
             '/api/dash/papierkorb', '/api/dash/benutzer', '/api/dash/settings',
-            '/api/dash/einstellungen/export', '/api/dash/verwaltung'):
+            '/api/dash/einstellungen/export', '/api/dash/verwaltung',
+            '/api/dash/sicherungen'):
     code, *_ = curl(f'{BASIS}{weg}', keks=False)
     pruefe(weg, code == '401', f'HTTP {code}')
 
@@ -155,6 +156,23 @@ for anhang, name in (('', 'dateien'), ('?was=verwaltung', 'verwaltung')):
     pruefe(f'CSV {name}', name in r.stdout and nackte == 0,
            f'{roh.count(CRLF)} Zeilen, {nackte} nackte LF')
 
+# -- Die Archive zum Mitnehmen -------------------------------------------------
+print(chr(10) + '-- Die Archive zum Mitnehmen ' + '-' * 40)
+code, _, _, rumpf = curl(f'{BASIS}/api/dash/sicherungen')
+sich = json.loads(rumpf)
+pruefe('Sicherungsordner eingehaengt', sich.get('eingehaengt') is True,
+       f"{len(sich.get('items', []))} Archive in {sich.get('ordner')}")
+
+# Der Weg nach draussen ist der, den man pruefen MUSS: dort liegt der ganze
+# Bestand als eine Datei, und ein Muster, das zu viel durchlaesst, gaebe jede
+# Datei des Servers heraus. Geprueft wird deshalb, was NICHT gehen darf.
+for boese, was in (('../../etc/passwd', 'Pfad hoch'),
+                   ('..%2f..%2fdata%2fmedia.db', 'kodiert hoch'),
+                   ('media.db', 'andere Datei'),
+                   ('d4rk_media-2026-01-01-0000.tar.gz.evil', 'Anhang drangehaengt')):
+    code, *_ = curl(f'{BASIS}/api/dash/sicherungen/{boese}')
+    pruefe(f'abgewiesen: {was}', code in ('400', '404'), f'HTTP {code}')
+
 # -- Papierkorb und Sicherung --------------------------------------------------
 print('\n-- Papierkorb und Sicherung ' + '-' * 42)
 code, _, _, rumpf = curl(f'{BASIS}/api/dash/papierkorb')