fix(security): Rechteprüfung deny by default, API-Keys nur auf freigegebenen Routen

- PermissionsGuard lehnt Routen ohne @RequirePermissions/@AllowAnyAuthenticated
  ab. API-Keys umgehen keine Rechteprüfung mehr, sondern gelten nur auf
  Routen mit @AllowApiKey (Paperless-Webhook, externer Upload, checksum,
  Agent-Routen des Etikettendrucks).
- Rechte für 24 bisher offene Routen ergänzt, u.a. paperless/documents
  (nur Admin), paperless/documents/:id und Kontonummern (Posteingang/
  manuell), webhook/status (Admin). routen-rechte.spec.ts prüft alle Routen.
- Etiketten-Agent: printed/error nur für abgeholte, offene Jobs (bedingtes
  Update, sonst 409) – ein gedruckter Job kann seine Nummer nicht mehr
  freigeben. Feldwerte nur aus den Eingabefeldern der Vorlage ({number}
  nicht vorgebbar) und URL-kodiert in GET-/Callback-URLs.
- PUT paperless/inbox/:id ignoriert Freigabe (CF15) und Zahlung (CF16)
  ohne die jeweilige Rolle (Funktionstrennung).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

paperless-backend/src/webhook/webhook.controller.ts

@@ -11,6 +11,8 @@ import {
 } from '@nestjs/common';
 import { ApiKeyGuard } from '../auth/api-key.guard';
 import { WebhookQueueService } from './webhook-queue.service';
+import { AllowApiKey, RequirePermissions } from '../auth/permissions.decorator';
+import { Permission } from '../auth/permissions.enum';
 
 export interface PaperlessWebhookPayload {
   doc_url?: string;
@@ -27,6 +29,7 @@ export class WebhookController {
 
   @UseGuards(ApiKeyGuard)
   @Post('paperless')
+  @AllowApiKey()
   @HttpCode(HttpStatus.OK)
   async handlePaperlessWebhook(@Body() payload: PaperlessWebhookPayload) {
     const documentId = this.extractDocumentId(payload);
@@ -59,6 +62,7 @@ export class WebhookController {
    * per JWT oder API-Key zugänglich.
    */
   @Get('status')
+  @RequirePermissions(Permission.MANAGE_SETTINGS)
   async getWebhookStatus(): Promise<{ lastCall: unknown; queueSize: number }> {
     return this.webhookQueue.getStatus();
   }