feat: set-password CLI-Befehl für Passwort-Reset

create-user lehnt einen bereits existierenden Nutzernamen ab und
UserStore hatte keinen Weg, ein Passwort nachträglich zu ändern -
einzige Alternative wäre manuelles Editieren der LiteDB-Binärdatei
gewesen. Neuer Befehl set-password <benutzername> [--password <pw>]
nach demselben Muster wie create-user (Cli.ParsePassword extrahiert,
von beiden Befehlen geteilt). docker/README.md ergänzt.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

LehrerApp.Api/Cli.cs

@@ -11,19 +11,9 @@ internal static class Cli
             Console.Error.WriteLine("Verwendung: create-user <benutzername> [--password <passwort>]");
             return Task.FromResult(1);
         }
-
         var username = args[1];
-        string? password = null;
-        for (var i = 2; i < args.Length - 1; i++)
-            if (args[i] == "--password") password = args[i + 1];
-
-        password ??= ReadPassword("Passwort (mind. 12 Zeichen): ");
-
-        if (string.IsNullOrWhiteSpace(password) || password.Length < 12)
-        {
-            Console.Error.WriteLine("Passwort muss mindestens 12 Zeichen lang sein.");
-            return Task.FromResult(1);
-        }
+        var password = ParsePassword(args);
+        if (password is null) return Task.FromResult(1);
 
         Directory.CreateDirectory(dataPath);
         using var store = new UserStore(dataPath);
@@ -37,6 +27,45 @@ internal static class Cli
         return Task.FromResult(0);
     }
 
+    public static Task<int> RunSetPasswordAsync(string dataPath, string[] args)
+    {
+        if (args.Length < 2)
+        {
+            Console.Error.WriteLine("Verwendung: set-password <benutzername> [--password <passwort>]");
+            return Task.FromResult(1);
+        }
+        var username = args[1];
+        var password = ParsePassword(args);
+        if (password is null) return Task.FromResult(1);
+
+        Directory.CreateDirectory(dataPath);
+        using var store = new UserStore(dataPath);
+        if (!store.SetPassword(username, password))
+        {
+            Console.Error.WriteLine($"Nutzer '{username}' existiert nicht.");
+            return Task.FromResult(1);
+        }
+
+        Console.WriteLine($"Passwort für '{username}' aktualisiert.");
+        return Task.FromResult(0);
+    }
+
+    private static string? ParsePassword(string[] args)
+    {
+        string? password = null;
+        for (var i = 2; i < args.Length - 1; i++)
+            if (args[i] == "--password") password = args[i + 1];
+
+        password ??= ReadPassword("Passwort (mind. 12 Zeichen): ");
+
+        if (string.IsNullOrWhiteSpace(password) || password.Length < 12)
+        {
+            Console.Error.WriteLine("Passwort muss mindestens 12 Zeichen lang sein.");
+            return null;
+        }
+        return password;
+    }
+
     // docker exec ohne -it liefert kein TTY -> ReadKey wäre nicht möglich, dann normal lesen.
     private static string ReadPassword(string prompt)
     {

LehrerApp.Api/Program.cs

@@ -20,6 +20,8 @@ var data = builder.Configuration["Api:DataPath"] ?? "./data";
 
 if (args.Length > 0 && args[0] == "create-user")
     return await Cli.RunCreateUserAsync(data, args);
+if (args.Length > 0 && args[0] == "set-password")
+    return await Cli.RunSetPasswordAsync(data, args);
 
 var secret = builder.Configuration["JWT_SECRET"]
     ?? throw new InvalidOperationException("JWT_SECRET nicht konfiguriert.");

LehrerApp.Api/UserStore.cs

@@ -23,6 +23,15 @@ public class UserStore(string dataPath) : IDisposable
         return true;
     }
 
+    public bool SetPassword(string username, string password)
+    {
+        var user = Col.FindOne(x => x.Username == username);
+        if (user is null) return false;
+        user.PasswordHash = PasswordHasher.Hash(password);
+        Col.Update(user);
+        return true;
+    }
+
     public bool VerifyPassword(string username, string password)
     {
         var user = Col.FindOne(x => x.Username == username);