Phase 1: Datenmodell, CRUD-API und Stammdaten

FastAPI mit SQLAlchemy und SQLite, Migrationen über Alembic. Die
Endpunkte aus projekt.md für items, categories und sizes stehen samt
Reservierung; Bilder und Anmeldung folgen in Phase 2 und 3.

Umgesetzt wie in Plan.md festgelegt:

- Feste Wertelisten als Enum UND als CHECK in der Datenbank. Die
  CHECK-Bedingung ist der eigentliche Schutz: an SQLAlchemy vorbei (Import,
  sqlite3 von Hand) käme sonst "Gril" durch, und die Filter griffen still
  nicht mehr.
- Status "draft" für den Stapel-Import. Entwürfe erscheinen weder in der
  Galerie noch in GET /items, solange nicht ausdrücklich status=draft
  angefragt wird, und lassen sich nicht reservieren.
- Titel ist freiwillig und wird sonst beim ANZEIGEN aus Kategorie und
  Grösse gebildet ("Jacken 98/104") - nicht beim Speichern, damit er einer
  späteren Korrektur der Grösse folgt.
- reservation_token: nur wer es hat, kann die eigene Reservierung aufheben.
  Verglichen mit compare_digest, gelöscht beim Freigeben und beim
  Erledigen, damit ein alter Link nicht später eine fremde Reservierung
  aufhebt.
- Eigene sizes-Tabelle mit sort_order statt SELECT DISTINCT: sonst stünde
  "104" vor "56" und jeder Tippfehler würde zur Filteroption.
- Pagination auf GET /items, in projekt.md nicht vorgesehen.

Zwei SQLite-Eigenheiten, die leicht untergehen: foreign_keys ist
standardmässig AUS (ohne PRAGMA greift ON DELETE CASCADE nicht), und
check_same_thread muss für FastAPI abgeschaltet werden. Beides in
database.py, dazu WAL fürs gleichzeitige Lesen.

24 Tests, alle grün. Zusätzlich von Hand geprüft: Migration anwenden,
Eintrag anlegen, reservieren, ohne Token freigeben (403), mit Token
freigeben (200), Swagger UI erreichbar.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01GR4bNaj9GtRu57J4Niii8o

app/config.py

@@ -0,0 +1,39 @@
+"""Einstellungen, ausschliesslich aus Umgebungsvariablen.
+
+Nichts davon steht im Code oder im Image: Passwort und Pfade kommen beim
+Start von aussen. Ohne gesetztes Passwort bleibt der Erfassungsbereich
+gesperrt (siehe Phase 3) - ein mitgeliefertes Standardpasswort wäre
+öffentlich bekannt und damit keines.
+"""
+
+from functools import lru_cache
+from pathlib import Path
+
+from pydantic_settings import BaseSettings, SettingsConfigDict
+
+
+class Einstellungen(BaseSettings):
+    model_config = SettingsConfigDict(env_file=".env", extra="ignore")
+
+    # Ablageorte. Im Container zeigen beide auf eingehängte Volumes, damit
+    # Datenbank und Bilder einen Neustart überleben.
+    datenbank_pfad: Path = Path("data/kleiderboerse.sqlite")
+    upload_pfad: Path = Path("uploads")
+
+    # Passwort für den Erfassungsbereich. Leer = gesperrt.
+    admin_passwort: str = ""
+    admin_passwort_hash: str = ""
+
+    # Grösse eines einzelnen Bild-Uploads. Greift zusätzlich zur Prüfung in
+    # images.py; ein Handyfoto liegt heute bei 3-12 MB.
+    max_upload_bytes: int = 10 * 1024 * 1024
+
+    @property
+    def datenbank_url(self) -> str:
+        return f"sqlite:///{self.datenbank_pfad}"
+
+
+@lru_cache
+def einstellungen() -> Einstellungen:
+    """Einmal lesen und merken - die Werte ändern sich zur Laufzeit nicht."""
+    return Einstellungen()