Freunde, privates Teilen, Artikelrechte, Reiserouten

- Freunde (freunde.py, Tabelle friendships): suchen, anfragen, annehmen,
  ablehnen, entfernen; neue Seite "Freunde" im Menü
- Vorratslisten und Kanban-Projekte immer privat: sichtbar für Ersteller und
  Mitglieder; teilen nur mit Freunden (Admins: mit allen); Kanban-Mitglieder
  (Tabelle kanban_project_members), Bearbeiter nur aus dem Projekt,
  ausgetretene Mitglieder verlieren ihre Zuteilung
- Artikel: lesen alle; bearbeiten Autor, Mitarbeitende verknüpfter
  Kanban-Projekte und Admins; verknüpfen nur bearbeitbare Artikel
  (sonst ließen sich Rechte erschleichen); Board-Liste auf der Artikelseite
  zeigt nur sichtbare Boards
- Administratoren sehen und bearbeiten alles
- Reisen: Städte nur von Freunden (Admins: alle); "Reiserouten zeigen"
  zeichnet die Strecken der Kilometer-Rechnung als Bögen
- Migration Schritt 6: bisher gemeinsame Listen und alle Projekte bekommen
  die vorhandenen Konten als Mitglieder, ohne Ersteller → erster Admin;
  erste Liste einer neuen Installation gehört dem ersten Konto
- Tests: test_freunde.py, test_zugriff.py, bestehende auf Privat-Modell
  umgestellt

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/tests/test_kanban.py

@@ -56,9 +56,10 @@ def test_zurueckholen_startet_fristen_neu(login, conn):
     assert [x["title"] for x in data["tasks"]] == ["alt"]
 
 
-def test_loeschen_nur_ersteller_oder_admin(login):
+def test_loeschen_nur_ersteller_oder_admin(login, befriend):
     anna, ben, chef = login("anna"), login("ben"), login("chef", admin=True)
-    pid = make_board(anna)
+    befriend(anna, ben)
+    pid = anna.post("/api/kanban/projekte", json={"name": "Test", "members": [ben.user["id"]]}).json()["id"]
     t1, t2 = task(anna, pid, "eins"), task(anna, pid, "zwei")
     assert ben.delete(f"/api/kanban/aufgaben/{t1['id']}").status_code == 403
     assert anna.delete(f"/api/kanban/aufgaben/{t1['id']}").status_code == 200