docs: Stand nach dem Smoke-Test, und der Stolperstein beim lokalen Start

Der Durchstich steht: anmelden, Token anlegen, Bild hochladen, unter der
zurueckgegebenen URL abrufen -- Byte fuer Byte identisch, auch unter dem
Dateihost.

server/.env.example ist die Datei, die .gitignore ohnehin schon erwartet
hat. Wichtigster Eintrag darin ist FILES_HOST: ohne ihn nimmt der Dienst
den Host aus PUBLIC_URL, lokal also localhost. Dann gilt jede Anfrage als
Anfrage an den Dateiwirt, und dort gibt es absichtlich weder Dashboard
noch API -- /health antwortet 404, die Anmeldung 405 "hier gibt es nur
Dateien". Nichts ist kaputt, der Dienst tut genau das, was er soll, nur
eben unter dem einen Namen, den man lokal hat. In Produktion sind es zwei
verschiedene Namen und der Standard stimmt.

Das dev-Skript liest die .env jetzt mit --env-file (funktioniert unter
tsx, nachgeprueft).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ROADMAP.md

@@ -63,8 +63,6 @@ server/src/routes/dash.ts     die API fürs Dashboard
 server/src/index.ts      Host-Weiche, Dateiauslieferung, Start
 ```
 
-Typprüfung läuft durch. **Noch nicht gestartet und nicht getestet.**
-
 Die API für Skripte:
 
 ```
@@ -86,10 +84,73 @@ Die API fürs Dashboard: Anmeldung, Passwortwechsel, Medienliste mit Suche und
 Paginierung, Einzel- und Sammellöschung, Statistik nach Ordnern,
 Token-Verwaltung.
 
-### ⬜ Als Nächstes
+### ✅ Fertig — Schritt 1, der Smoke-Test
 
-**1 · Smoke-Test.** Server lokal starten, Token anlegen, ein Bild hoch- und
-wieder abrufen. Vor Docker, vor allem anderen.
+Gestartet, durchgemessen, repariert. Der Durchstich steht: anmelden → Token
+anlegen → Bild hochladen → unter der zurückgegebenen URL abrufen, Byte für Byte
+identisch, auch unter dem Dateihost.
+
+**So läuft er lokal:**
+
+```bash
+cp server/.env.example server/.env
+```
+
+```bash
+npm --prefix server ci && npm --prefix server run dev
+```
+
+> **Der Stolperstein beim lokalen Start:** ohne `FILES_HOST` nimmt der Dienst
+> den Host aus `PUBLIC_URL` — lokal also `localhost`. Dann gilt *jede* Anfrage
+> als Anfrage an den Dateiwirt, und dort gibt es absichtlich weder Dashboard
+> noch API: `/health` antwortet 404, die Anmeldung 405 „hier gibt es nur
+> Dateien". Nichts ist kaputt. In Produktion sind es zwei verschiedene Namen
+> und der Standard stimmt; lokal gehört ein Name hin, den niemand aufruft.
+> Steht samt Begründung in `server/.env.example`.
+
+**Was der Test gefunden hat** — alles im Grundgerüst, alles repariert:
+
+1. **Die Token-Prüfung hing an `'*'`** und galt damit auch für `/api/dash/*`,
+   das daneben liegt. Das Dashboard bekam „Token fehlt oder ist unbekannt" auf
+   die Anmeldung, obwohl es nie einen Token haben kann. Jetzt hängt sie an den
+   drei eigenen Pfaden.
+2. **`DELETE /api/media/…` und `GET /api/exists/…` sahen am Ziel vorbei.**
+   `c.req.path` trägt den Einhängepunkt mit, das `replace(/^\/media\//)` schnitt
+   ihn nicht weg — aus `vehicles/adder.png` wurde `api/media/vehicles/adder.png`.
+   Löschen fand nie etwas, `exists` meldete immer `false`. Jetzt `:pfad{.+}`;
+   Hono liefert den Parameter fertig dekodiert (nachgemessen), ein zweites
+   `decodeURIComponent` wäre eine Dekodierung zu viel gewesen.
+3. **Verzeichnisdurchstieg in der SPA-Rückfallroute.**
+   `GET /..%5Cpackage.json` hat unter Windows die Datei ausgeliefert: Hono
+   reicht `%5C` durch, `path.join` behandelt den Backslash dort als Trenner,
+   und eine Eindämmung gab es nicht. Unter Linux trägt genau dieser Angriff
+   nicht — Glück, keine Abwehr. Jetzt dieselbe `resolve`-Prüfung wie in
+   `storage.ts`.
+4. **Die Auskunft „Oberfläche ist nicht gebaut" war unerreichbar.**
+   `createReadStream` meldet eine fehlende Datei *asynchron*; das `try/catch`
+   darum fing nichts. Ergebnis war ein leerer 200 samt ENOENT im Log. Jetzt
+   wird vorher nachgesehen.
+5. **CSS und JS kamen als `application/octet-stream`** — die MIME-Tabelle kennt
+   nur Medientypen. Das Dashboard hätte weder Stylesheet noch Modul geladen.
+   Die Oberfläche hat jetzt eine **eigene** Tabelle: in der geteilten fehlt
+   `html` mit Absicht, sonst könnte jeder mit einem Upload-Token eine Seite
+   unter `fivecdn.d4rkst3r.de` veröffentlichen. Nachgemessen: eine hochgeladene
+   `.html` kommt weiterhin als `octet-stream` mit `nosniff`.
+6. **Kaputtes JSON endete als nackter „Internal Server Error".** Ausgerechnet
+   das — ein 500 ohne ein Wort dazu ist der Fehler, wegen dem wir hier neu
+   bauen. Jetzt 400 mit Text.
+
+**Was sonst nachgemessen wurde und trägt:** alle drei Rumpfformen (multipart,
+Base64, rohe Bytes) liefern denselben SHA-256, auch mit `data:`-Vorspann · der
+Hash-Pfad ohne `X-Path` · Präfix-Fessel und `can_delete` je Token · `..`,
+versteckte Dateien und leerer Rumpf werden abgelehnt · `X-Overwrite: false`
+gibt 409, Überschreiben `replaced: true` · 413 vor dem Einlesen · ETag/304,
+HEAD, Bereichsanfragen und 416 · unter dem Dateihost gibt es weder API noch
+`/f/`-Präfix · Medienliste, Suche, Statistik nach Ordnern.
+
+Nicht getestet: Docker, das Dashboard (gibt es noch nicht), und echte Last.
+
+### ⬜ Als Nächstes
 
 **2 · Dockerfile und Compose.** Ein Abbild, das Server und gebaute Oberfläche
 ausliefert; ein Volume für `data/`; ein Port für NPM. In Portainer aus diesem