Freunde, privates Teilen, Artikelrechte, Reiserouten

- Freunde (freunde.py, Tabelle friendships): suchen, anfragen, annehmen,
  ablehnen, entfernen; neue Seite "Freunde" im Menü
- Vorratslisten und Kanban-Projekte immer privat: sichtbar für Ersteller und
  Mitglieder; teilen nur mit Freunden (Admins: mit allen); Kanban-Mitglieder
  (Tabelle kanban_project_members), Bearbeiter nur aus dem Projekt,
  ausgetretene Mitglieder verlieren ihre Zuteilung
- Artikel: lesen alle; bearbeiten Autor, Mitarbeitende verknüpfter
  Kanban-Projekte und Admins; verknüpfen nur bearbeitbare Artikel
  (sonst ließen sich Rechte erschleichen); Board-Liste auf der Artikelseite
  zeigt nur sichtbare Boards
- Administratoren sehen und bearbeiten alles
- Reisen: Städte nur von Freunden (Admins: alle); "Reiserouten zeigen"
  zeichnet die Strecken der Kilometer-Rechnung als Bögen
- Migration Schritt 6: bisher gemeinsame Listen und alle Projekte bekommen
  die vorhandenen Konten als Mitglieder, ohne Ersteller → erster Admin;
  erste Liste einer neuen Installation gehört dem ersten Konto
- Tests: test_freunde.py, test_zugriff.py, bestehende auf Privat-Modell
  umgestellt

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/tests/test_vorrat_extras.py

@@ -1,11 +1,7 @@
 """Mindestbestand, Laden-Kategorien und Rezeptsammlung."""
 from app.kategorien import KEYS
 
-from test_haushalt import add, items, new_list, state
-
-
-def home(client):
-    return state(client)["lists"][0]["id"]
+from test_haushalt import add, home, items, new_list, state
 
 
 def amounts(data, list_id, name):
@@ -49,7 +45,7 @@ def test_mindestbestand_aufgebraucht_und_sofort(login):
 
 def test_mindestbestand_nur_mit_listenzugriff(login):
     anna, ben = login("anna"), login("ben")
-    privat = new_list(anna, "Privat", everyone=False)
+    privat = new_list(anna, "Privat")
     res = ben.put(f"/api/haushalt/listen/{privat}/mindestbestand", json={"name": "x", "unit": "stk", "minimum": 1})
     assert res.status_code == 404
 
@@ -70,7 +66,7 @@ def test_kategorie_geraten_und_aenderbar(login):
 
 def test_kategorie_privater_produkte_nicht_aenderbar(login):
     anna, ben = login("anna"), login("ben")
-    privat = new_list(anna, "Privat", everyone=False)
+    privat = new_list(anna, "Privat")
     add(anna, privat, "Geheimzutat")
     assert ben.put("/api/haushalt/produkte/kategorie", json={"name": "Geheimzutat", "category": "obst"}).status_code == 404
 
@@ -78,10 +74,10 @@ def test_kategorie_privater_produkte_nicht_aenderbar(login):
 def test_laden_reihenfolge(login):
     anna = login("anna")
     lid = home(anna)
-    assert state(anna)["lists"][0]["categoryOrder"] == KEYS
+    assert next(l for l in state(anna)["lists"] if l["id"] == lid)["categoryOrder"] == KEYS
     order = list(reversed(KEYS))
     data = anna.put(f"/api/haushalt/listen/{lid}/reihenfolge", json={"order": order}).json()
-    assert data["lists"][0]["categoryOrder"] == order
+    assert next(l for l in data["lists"] if l["id"] == lid)["categoryOrder"] == order
     assert anna.put(f"/api/haushalt/listen/{lid}/reihenfolge", json={"order": KEYS[:3]}).status_code == 400
 
 
@@ -126,7 +122,7 @@ def test_rezept_loeschen_nur_ersteller_oder_admin(login):
 
 def test_rezept_vorschlag_verraet_keine_privaten_produkte(login):
     anna, ben = login("anna"), login("ben")
-    privat = new_list(anna, "Privat", everyone=False)
+    privat = new_list(anna, "Privat")
     add(anna, privat, "Kondome", area="vorrat")
     save(ben, "Test", ["2 Kondom"])
     res = ben.get("/api/haushalt/rezepte", params={"listId": home(ben)}).json()
@@ -189,7 +185,7 @@ def test_im_laden_hinzufuegen(login):
 
 def test_laden_fremder_liste_nicht_nutzbar(login):
     anna, ben = login("anna"), login("ben")
-    privat = new_list(anna, "Privat", everyone=False)
+    privat = new_list(anna, "Privat")
     fremd = new_store(anna, privat, "Geheimladen")
     lid = home(ben)
     assert ben.patch(f"/api/haushalt/laeden/{fremd}", json={"name": "x"}).status_code == 404