KI-Backend: Nutzer-Anlage ohne PHP-CLI (setup-user.php)

scripts/create-user.php setzt SSH/CLI-Zugriff voraus, den viele Shared-Hosting-Pakete
nicht haben. setup-user.php ist die web-erreichbare Alternative (Geheimnis in
config.php, per curl von lokal aufrufbar), muss nach Gebrauch aber wieder vom
Server gelöscht werden — sonst bleibt ein Endpunkt zum Anlegen beliebiger Nutzer
erreichbar.

ai-backend/README.md

@@ -22,19 +22,37 @@ macht der Nutzer selbst — dieses README beschreibt die nötigen Schritte.
 2. `config.example.php` nach `config.php` kopieren und ausfüllen (DB-Zugang, Anthropic-API-Key,
    ggf. die Preistabelle gegen die aktuelle Anthropic-Preisseite prüfen — Preise ändern sich).
    `config.php` ist in `.gitignore` und darf nie committet werden.
-3. Ersten Nutzer anlegen (weitere Lehrer später genauso):
-   ```bash
-   php scripts/create-user.php sebastian "einStarkesPasswort" 10.00
-   ```
-   Der dritte Parameter ist das Startguthaben in USD, optional (Standard 0).
+3. Falls du die Web-Variante aus Schritt 5 nutzen willst (kein PHP-CLI/SSH auf dem Hosting):
+   `setup_secret` in `config.php` auf einen langen Zufallswert setzen (z.B. per
+   `openssl rand -hex 32` erzeugt, oder ein beliebiger Passwortgenerator).
 4. Den kompletten `ai-backend/`-Ordner auf den PHP-Server hochladen. **Empfehlung:** `config.php`,
    `db.php`, `schema.sql`, `providers/` und `scripts/` außerhalb des öffentlichen Webroots ablegen,
    falls das Hosting das erlaubt (Pfade in den `require`-Aufrufen entsprechend anpassen) — robuster
    als sich allein auf die mitgelieferte `.htaccess` zu verlassen, die nur bei Apache mit
    aktiviertem `mod_rewrite`/erlaubten `.htaccess`-Overrides greift.
-5. In `LehrerApp.Desktop/AppBootstrapper.cs` die Konstante `AiBackendUrl` auf die tatsächlich
+5. Ersten Nutzer anlegen (weitere Lehrer später genauso) — zwei Varianten, je nachdem was das
+   Hosting hergibt:
+
+   **Mit PHP-CLI/SSH-Zugriff** (`scripts/create-user.php`):
+   ```bash
+   php scripts/create-user.php sebastian "einStarkesPasswort" 10.00
+   ```
+   Der dritte Parameter ist das Startguthaben in USD, optional (Standard 0).
+
+   **Ohne CLI/SSH** (übliches Shared Hosting, nur FTP/Webspace) — der Server läuft nach Schritt 4
+   bereits, also einmalig von deinem eigenen Rechner aus aufrufen:
+   ```bash
+   curl -X POST https://DEINE-DOMAIN/setup-user.php \
+     -d '{"secret":"<setup_secret aus config.php>","username":"sebastian","password":"einStarkesPasswort","balanceUsd":10.00}'
+   ```
+   **Direkt danach `setup-user.php` per FTP wieder vom Server löschen** — sonst bleibt ein
+   Endpunkt erreichbar, der (mit dem Geheimnis) beliebige Nutzer anlegen kann. Ein erneuter
+   Aufruf mit demselben Benutzernamen aktualisiert Passwort/Guthaben, falls z.B. das Guthaben
+   beim ersten Versuch vergessen wurde — dafür braucht es die Datei aber kein zweites Mal auf
+   dem Server, einfach vor dem Löschen alle nötigen Nutzer in einer Sitzung anlegen.
+6. In `LehrerApp.Desktop/AppBootstrapper.cs` die Konstante `AiBackendUrl` auf die tatsächlich
    deployte Domain setzen und die App neu bauen.
-6. In der App unter Einstellungen → KI-Unterstützung aktivieren und mit dem angelegten Nutzer
+7. In der App unter Einstellungen → KI-Unterstützung aktivieren und mit dem angelegten Nutzer
    anmelden.
 
 ## Smoke-Test ohne echten API-Key