Freunde, privates Teilen, Artikelrechte, Reiserouten

- Freunde (freunde.py, Tabelle friendships): suchen, anfragen, annehmen,
  ablehnen, entfernen; neue Seite "Freunde" im Menü
- Vorratslisten und Kanban-Projekte immer privat: sichtbar für Ersteller und
  Mitglieder; teilen nur mit Freunden (Admins: mit allen); Kanban-Mitglieder
  (Tabelle kanban_project_members), Bearbeiter nur aus dem Projekt,
  ausgetretene Mitglieder verlieren ihre Zuteilung
- Artikel: lesen alle; bearbeiten Autor, Mitarbeitende verknüpfter
  Kanban-Projekte und Admins; verknüpfen nur bearbeitbare Artikel
  (sonst ließen sich Rechte erschleichen); Board-Liste auf der Artikelseite
  zeigt nur sichtbare Boards
- Administratoren sehen und bearbeiten alles
- Reisen: Städte nur von Freunden (Admins: alle); "Reiserouten zeigen"
  zeichnet die Strecken der Kilometer-Rechnung als Bögen
- Migration Schritt 6: bisher gemeinsame Listen und alle Projekte bekommen
  die vorhandenen Konten als Mitglieder, ohne Ersteller → erster Admin;
  erste Liste einer neuen Installation gehört dem ersten Konto
- Tests: test_freunde.py, test_zugriff.py, bestehende auf Privat-Modell
  umgestellt

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/tests/test_reisen.py

@@ -2,9 +2,11 @@ BERLIN = {"geonameId": 2950159, "name": "Berlin", "country": "DE", "lat": 52.52,
 LEIDEN = {"geonameId": 2751773, "name": "Leiden", "country": "NL", "lat": 52.16, "lon": 4.49}
 
 
-def test_staedte_anderer_nur_lesend(login):
+def test_staedte_anderer_nur_lesend(login, befriend):
     anna, ben = login("anna"), login("ben")
     anna.post("/api/reisen/staedte", json=BERLIN)
+    assert ben.get("/api/reisen").json()["others"] == []          # erst nach Freundschaft sichtbar
+    befriend(anna, ben)
     data = ben.get("/api/reisen").json()
     assert data["cities"] == []
     assert [(p["name"], [c["name"] for c in p["cities"]]) for p in data["others"]] == [("Anna", ["Berlin"])]
@@ -51,8 +53,9 @@ def foto(client) -> str:
     return client.post("/api/uploads", content=buf.getvalue()).json()["file"]
 
 
-def test_wunschliste(login):
+def test_wunschliste(login, befriend):
     anna, ben = login("anna"), login("ben")
+    befriend(anna, ben)
     data = anna.post("/api/reisen/staedte", json={**PRAG, "wish": True}).json()
     prag = data["cities"][0]
     assert prag["wish"] is True