docs: Auth-Abschnitt, korrigierte Test-Anleitung, Phase 9

deployment.md bekommt einen eigenen Abschnitt zur Authentifizierung
(Schlüsselweg, geschützte Endpoints, Fehlercodes, der Schalter für
VPN-Instanzen) und eine CORS-Beschreibung, die die Allowlist statt des
alten Wildcards erklärt — inklusive der Tauri-Origins, die sonst am
Preflight scheitern.

Im README steht jetzt der Hinweis, der diese Runde am meisten gekostet
hat: ohne DATABASE_URL_APPVIEW in der Umgebung überspringen sich die
DB-Tests selbst und `cargo test --workspace` meldet grün, ohne sie
ausgeführt zu haben.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013HC9HLrUU1LNwkzp8nkDLX

README.md

@@ -68,6 +68,7 @@ cargo run -p appview
 | 6  Tauri-UI-Logik an Backend koppeln | ✅ done — LoginScreen, NavRail, PostCard, ComposeBox, Profile/Compose/Search/Settings-Views |
 | 7  Polish (Tray, Notifications, Auto-Update) | ✅ done — Tray-Icon custom (`tauri::include_image!`), Notification-Click navigiert via `app://notification`-Event + `openThread`-Helper zu Thread-Detail, Auto-Update in Dev inert (Production-Weg: [`docs/tauri-release.md`](docs/tauri-release.md)) |
 | 8  Social-Graph + Benachrichtigungen | ✅ done — `notifications`-Tabelle, Schreibpfad im Jetstream-Indexer (idempotent, keine Selbst-Notifications), `/api/notifications[/count|/seen]`, `/api/followers`, `/api/following`, eigene `/api/thread`-Route; im Client Notifications-View mit Unread-Badge und klickbare Follower-/Following-Listen im Profil |
+| 9  Auth + Performance | ✅ done — AppView prüft Bearer-Tokens (ES256, Schlüssel aus dem neuen `/.well-known/did.json` der PDS, fail closed); Timeline und Notifications nur noch für die eigene DID; CORS-Allowlist statt `Any`; Indizes für Handle-Lookup und Cold-Start-Feed |
 
 ## Tests
 
@@ -81,11 +82,13 @@ Stand zuletzt gegen den lokalen Dev-Stack (docker compose + laufender PDS + AppV
 Rust-Workspace grün (u.a. 27 MST, 24 PDS-Integration, 49 AppView-Lib, 14 AppView-Integration),
 Frontend grün. Zwei Vorbehalte:
 
-* Die DB-gestützten Integrationstests sind *fail-open* — ohne erreichbare Postgres/PDS
-  überspringen sie sich selbst und melden das nur auf stderr. Ein grüner Lauf ohne
-  laufenden Stack sagt also weniger, als er aussieht.
-* Einige Tests hängen am Zustand der Dev-Datenbank; auf einer frischen DB können
-  `handle_sync`-Tests abweichen. Wer sie ernst nimmt, prüft sie gegen eine definierte DB.
+* Die DB-gestützten Tests sind *fail-open*: **ohne `DATABASE_URL_APPVIEW` in der
+  Umgebung überspringen sie sich selbst** und melden das nur auf stderr. `cargo test
+  --workspace` in einer nackten Shell meldet dann grün, ohne sie ausgeführt zu haben —
+  für einen aussagekräftigen Lauf `set -a; . ./.env; set +a` voranstellen und PDS +
+  AppView laufen lassen.
+* Läuft die Auth (Default), holen sich die Integrationstests echte Tokens von der PDS
+  bzw. signieren sie aus `PDS_JWT_SECRET`; ohne erreichbare PDS überspringen sie.
 
 `crates/tauri-app/src-tauri` hat ein eigenes `[workspace]` und ist **nicht** Teil des
 Root-Workspace; `cargo test --workspace` von oben erfasst den IPC-Layer nicht.
@@ -103,8 +106,8 @@ Root-Workspace; `cargo test --workspace` von oben erfasst den IPC-Layer nicht.
 * Die eigene PDS speist **keinen** Firehose (`com.atproto.sync.subscribeRepos` fehlt) —
   eigene Records erreichen die AppView nur über den Best-Effort-Push
   `POST /internal/ingest-commit`.
-* Die AppView-Leseschnittstelle hat **keine Auth** und CORS `Any`; bei
-  `/api/notifications` sind das erstmals halbwegs private Daten.
+* `aud` wird beim Token-Check nicht validiert (Signatur, Ablauf, `scope` und
+  `sub` schon).
 * Notifications werden nie gelöscht: Unlike/Unfollow lässt die Zeile stehen, und der
   Dedupe-Key macht sie „einmal pro (Empfänger, Autor, Art, Subject) für immer".
 * Auto-Update ist nur dokumentiert, nicht verdrahtet: niemand ruft `check()` auf, das
@@ -112,8 +115,6 @@ Root-Workspace; `cargo test --workspace` von oben erfasst den IPC-Layer nicht.
 * Reply-Notifications gehen verloren, wenn die Antwort vor ihrem Parent indiziert wird
   (kein Nachlauf) — bei Jetstream möglich.
 * `at-blob` spricht MinIO ohne Signature V4 — echtes AWS S3 funktioniert damit nicht.
-* Die PDS liefert kein `.well-known/did.json`; `describeServer` gibt die DID hart
-  als `did:web:pds.maarcadetweet.local` zurück.
 
 ## Design