Baustein 6: Datei-Anhaenge synchronisieren (Kapitel 10)

Anhaenge laufen bewusst NICHT ueber den JSON-Ereigniskanal (wuerde ihn
fuer Fotos/Scans stark aufblaehen), sondern ueber einen eigenen
verschluesselten Binaerkanal - analog zum bereits bestehenden Muster
in SnapshotService.

- Neue Endpunkte POST/GET /api/sync/attachments/{storageId} in
  LehrerApp.Api (AttachmentStore, dateibasiert je Nutzer)
- EventQueue: neue, vom JSON-Ereignis getrennte Warteliste fuer
  ausstehende Uploads (SyncEventPublisher traegt Anhaenge einer
  gespeicherten Documentation dort ein)
- AttachmentSyncer laedt ausstehende Anhaenge hoch (in
  SyncEngine.SyncNowAsync nach dem Event-Push)
- EventApplier laedt fehlende Anhaenge nach dem Anwenden eines
  Documentation-Ereignisses nach - ueber die rohe Collection statt
  IAttachmentStorage.Upload, da dieses immer eine neue Id vergaebe und
  hier die Original-StorageId erhalten bleiben muss

Round-Trip-Tests belegen byteidentische Uebertragung.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

LehrerApp.Api/Endpoints/Endpoints.cs

@@ -48,6 +48,30 @@ public static class Endpoints
         });
     }
 
+    // ── Anhänge (eigener Binärkanal, getrennt vom JSON-Ereigniskanal) ──────────
+
+    public static void MapAttachmentEndpoints(this WebApplication app)
+    {
+        var g = app.MapGroup("/api/sync/attachments").RequireAuthorization();
+        g.MapPost("/{storageId}", async (string storageId, HttpRequest req,
+            ClaimsPrincipal user, AttachmentStore store) =>
+        {
+            var uid = user.FindFirst(ClaimTypes.NameIdentifier)?.Value;
+            if (uid is null) return Results.Unauthorized();
+            if (req.ContentLength is null or > LehrerApp.Core.Interfaces.IAttachmentStorage.MaxSizeBytes)
+                return Results.BadRequest("Datei zu groß oder Content-Length fehlt.");
+            await store.StoreAsync(uid, storageId, req.Body);
+            return Results.Ok();
+        });
+        g.MapGet("/{storageId}", (string storageId, ClaimsPrincipal user, AttachmentStore store) =>
+        {
+            var uid = user.FindFirst(ClaimTypes.NameIdentifier)?.Value;
+            if (uid is null) return Results.Unauthorized();
+            var stream = store.OpenRead(uid, storageId);
+            return stream is null ? Results.NotFound() : Results.Stream(stream, "application/octet-stream");
+        });
+    }
+
     // ── Snapshot (Device-Pairing) ─────────────────────────────────────────────
 
     public static void MapSnapshotEndpoints(this WebApplication app)