Warenwirtschaft: OPT-9 AuthZ/CSRF-Härtung (Audit M-2, M-3, M-6, M-7, M-10)

- M-2: Produktionen buchen Bestand — StoreProductionRequest verlangt
  jetzt admin >= 7 (wie manuelle Bestandsbewegungen); create/edit/copy
  im Controller gegated, UI-Buttons für niedrigere Stufen ausgeblendet.
- M-3: Ausschuss-/Bewegungs-/Produktions-Buttons nur noch für
  Berechtigte sichtbar (keine toten Formulare mehr).
- M-6: Zustandsändernde GET-Routen umgestellt — stock-entries/copy
  jetzt POST mit CSRF; /admin/product/delete jetzt DELETE-Formulare
  (Produktliste + Rezeptur-Zeile im Produktformular).
- M-7: ProductController::imageAttribute whitelistet Spalten
  ('active', 'pos') + numerische Werte, sonst 400 — kein beliebiger
  Spalten-Write per URL mehr.
- M-10: URL-Felder (Lieferant, Verpackungsartikel, INCI-Lieferanten-
  Repeater) validieren url:http,https — keine speicherbaren
  javascript:-Links mehr.

Tests: ProductionHardeningTest +2; drei bestehende Tests an neue
Regeln angepasst (admin-Level 7 für Produktions-Formular, POST-Copy).
Suite: 231 grün.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

resources/views/admin/inventory/stock-entries/index.blade.php

@@ -46,9 +46,10 @@
                                     </a>
                                 @endif
                                 @if(Auth::user()->isAdmin())
-                                    <a href="{{ route('admin.inventory.stock-entries.copy', $row) }}" class="btn icon-btn btn-sm btn-info" title="{{ __('Duplizieren') }}">
-                                        <span class="far fa-copy"></span>
-                                    </a>
+                                    <form action="{{ route('admin.inventory.stock-entries.copy', $row) }}" method="post" class="d-inline">
+                                        @csrf
+                                        <button type="submit" class="btn icon-btn btn-sm btn-info" title="{{ __('Duplizieren') }}"><span class="far fa-copy"></span></button>
+                                    </form>
                                 @endif
                             </td>
                             <td data-sort="{{ $row->status === 'pending' ? 0 : 1 }}">

resources/views/admin/inventory/stock-entries/show.blade.php

@@ -22,7 +22,10 @@
             <div class="wawi-page-head__actions">
                 <a href="{{ route('admin.inventory.stock-entries.index') }}" class="btn btn-sm btn-outline-secondary">{{ __('Zurück zur Liste') }}</a>
                 @if(Auth::user()->isAdmin())
-                    <a href="{{ route('admin.inventory.stock-entries.copy', $model) }}" class="btn btn-sm btn-outline-info">{{ __('Duplizieren') }}</a>
+                    <form action="{{ route('admin.inventory.stock-entries.copy', $model) }}" method="post" class="d-inline">
+                        @csrf
+                        <button type="submit" class="btn btn-sm btn-outline-info">{{ __('Duplizieren') }}</button>
+                    </form>
                 @endif
                 @if(Auth::user()->isAdmin() && $model->isPending())
                     <a href="{{ route('admin.inventory.stock-entries.edit', $model) }}" class="btn btn-sm btn-primary">{{ __('Bearbeiten') }}</a>