Freunde, privates Teilen, Artikelrechte, Reiserouten

- Freunde (freunde.py, Tabelle friendships): suchen, anfragen, annehmen,
  ablehnen, entfernen; neue Seite "Freunde" im Menü
- Vorratslisten und Kanban-Projekte immer privat: sichtbar für Ersteller und
  Mitglieder; teilen nur mit Freunden (Admins: mit allen); Kanban-Mitglieder
  (Tabelle kanban_project_members), Bearbeiter nur aus dem Projekt,
  ausgetretene Mitglieder verlieren ihre Zuteilung
- Artikel: lesen alle; bearbeiten Autor, Mitarbeitende verknüpfter
  Kanban-Projekte und Admins; verknüpfen nur bearbeitbare Artikel
  (sonst ließen sich Rechte erschleichen); Board-Liste auf der Artikelseite
  zeigt nur sichtbare Boards
- Administratoren sehen und bearbeiten alles
- Reisen: Städte nur von Freunden (Admins: alle); "Reiserouten zeigen"
  zeichnet die Strecken der Kilometer-Rechnung als Bögen
- Migration Schritt 6: bisher gemeinsame Listen und alle Projekte bekommen
  die vorhandenen Konten als Mitglieder, ohne Ersteller → erster Admin;
  erste Liste einer neuen Installation gehört dem ersten Konto
- Tests: test_freunde.py, test_zugriff.py, bestehende auf Privat-Modell
  umgestellt

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/tests/test_datenschutz.py

@@ -1,6 +1,8 @@
 """Datenschutz: keine Metadaten in Bildern, private Listen bleiben privat, keine fremden Bilder, keine offene API-Doku."""
 import io
 
+from test_haushalt import new_list
+
 from fastapi.testclient import TestClient
 from PIL import Image, PngImagePlugin
 
@@ -68,8 +70,9 @@ def private_liste(anna):
     return lid
 
 
-def test_privates_produkt_nicht_in_fremden_vorschlaegen(login):
+def test_privates_produkt_nicht_in_fremden_vorschlaegen(login, befriend):
     anna, ben = login("anna"), login("ben")
+    befriend(anna, ben)
     lid = private_liste(anna)
     assert "Schwangerschaftstest" in anna.get("/api/haushalt").json()["products"]
     assert "Schwangerschaftstest" not in ben.get("/api/haushalt").json()["products"]
@@ -89,9 +92,10 @@ def test_rezept_zuordnung_verraet_nichts(login):
     assert ing["known"] is True and ing["product"] == "Kondome"
 
 
-def test_vorschlag_loeschen_nur_in_eigenen_listen(login):
+def test_vorschlag_loeschen_nur_in_eigenen_listen(login, befriend):
     anna, ben = login("anna"), login("ben")
-    home = anna.get("/api/haushalt").json()["lists"][0]["id"]
+    befriend(anna, ben)
+    home = new_list(anna, "Zuhause", members=[ben.user["id"]])
     private_liste(anna)
     anna.post("/api/haushalt/items", json={"list": "einkauf", "name": "Schwangerschaftstest", "listId": home})
     # Ben löscht den Vorschlag: weg aus "Zuhause", in Annas privater Liste bleibt er
@@ -125,7 +129,7 @@ def test_api_doku_nicht_oeffentlich():
 
 def test_umstellung_bestehender_daten(conn, login):
     anna = login("anna")
-    home = anna.get("/api/haushalt").json()["lists"][0]["id"]
+    home = new_list(anna, "Zuhause")
     with conn:
         # Stand vor Schritt 2: Katalog ohne Listen-Zuordnung, Artikel mit fremdem Bild, Foto mit GPS
         conn.execute("INSERT INTO shopping_lists (id, name, everyone, position, created_at, created_by) VALUES (99, 'P', 0, 2, 'x', ?)", (anna.user["id"],))
@@ -133,6 +137,7 @@ def test_umstellung_bestehender_daten(conn, login):
             conn.execute("INSERT INTO products (key, name, uses, last_used) VALUES (?, ?, 3, 'x')", (key, name))
         conn.execute("INSERT INTO household_items (key, name, list, list_id, quantity, unit, updated_at) VALUES ('geheim', 'Geheim', 'einkauf', 99, 1, 'stk', 'x')")
         conn.execute("DELETE FROM list_products")
+        conn.execute("UPDATE shopping_lists SET everyone = 1 WHERE id = ?", (home,))  # damals für alle sichtbar
         conn.execute("""INSERT INTO projects (id, title, status, content, created_at, updated_at)
                         VALUES ('a1', 'T', 'aktiv', '<p>x</p><img src="https://tracker.example/p.gif">', 'x', 'x')""")
         conn.execute("PRAGMA user_version = 1")