feat(oauth): ARIA bekommt Zugangstokens nicht mehr zu sehen

oauth_get_token hat den access_token im Klartext als Tool-Ergebnis
zurueckgegeben. Tool-Ergebnisse sind Teil der Unterhaltung — der Token ging
damit an Anthropic und lag je nach Konto-Einstellung 30 Tage oder 5 Jahre dort.

Neu: das Brain fuehrt den API-Aufruf SELBST aus.

- `oauth_call(service, url, method, body)` haengt die Authorization an,
  schickt den Request und gibt nur die Antwort zurueck. Der Token verlaesst
  den Brain-Prozess nicht.
- `oauth_get_token` sagt nur noch, OB authentifiziert ist und wie lange noch.
  Refresh laeuft weiter automatisch.
- Skills bleiben unveraendert: die holen den Token serverseitig ueber
  {BRAIN_INTERNAL_URL}/oauth/<service>/token — der laeuft nie durch ein
  Gespraech.

Host-Sperre als Sicherheitskern: die URL kommt vom Modell, also koennte ein
Aufruf den Token sonst an einen beliebigen Server schicken. Erlaubt sind nur
Hosts, die zum Provider gehoeren (aus auth_url/token_url, plus optionale
api_hosts). Verglichen wird auf den letzten zwei Labels, NICHT per endswith —
"boesespotify.com" endet sonst auch auf "spotify.com". Dazu: nur https (sonst
ginge der Token im Klartext ueber die Leitung) und nur die ueblichen Methoden.

19 Pruefungen, darunter die Angriffsvarianten: boesespotify.com,
spotify.com.angreifer.de, accounts.spotify.com.evil.io, spotify.co, leerer
Host — alle blockiert; api.spotify.com und abschliessender Punkt erlaubt.

System-Prompt und seed_rules nachgezogen, sonst erklaert ARIA sich das alte
Verhalten selbst. Beide sagen jetzt zusaetzlich ausdruecklich: Secrets gehoeren
nie in den Chat, und ein Secret nie in einer Antwort wiederholen. Genau so ist
hier naemlich ein client_secret abgeflossen — nicht ueber ein Tool, sondern
weil es eingetippt und dann zurueckzitiert wurde.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

aria-brain/seed_rules.py

@@ -185,11 +185,21 @@ SEED_RULES: List[dict] = [
         "category": "skills",
         "content": (
             "Schreibe NIEMALS API-Keys, Tokens, Passwoerter, client_id oder "
-            "client_secret direkt in den Skill-Code. Fuer OAuth-Services "
-            "(Spotify, Google, GitHub etc.) nutze das Brain-Tool "
-            "`oauth_get_token('<service>')` — das macht Auto-Refresh und "
-            "haelt den Token frisch. Stefan muss sich sonst alle 60 Minuten "
-            "manuell neu einloggen, das nervt."
+            "client_secret direkt in den Skill-Code — und schreibe sie auch "
+            "NIE in eine Chat-Antwort. Alles was im Gespraech steht, wird "
+            "uebertragen und gespeichert.\n"
+            "\n"
+            "Fuer OAuth-Services (Spotify, Google, GitHub etc.):\n"
+            "- Im Gespraech: `oauth_call('<service>', url, ...)` — das Brain "
+            "haengt die Authorization an, Du siehst den Token nie.\n"
+            "- Im Skill-Code: den Token zur Laufzeit holen ueber "
+            "GET {BRAIN_INTERNAL_URL}/oauth/<service>/token. Der Aufruf macht "
+            "Auto-Refresh; Stefan muss sich sonst alle 60 Minuten neu "
+            "einloggen, das nervt.\n"
+            "- Zugangsdaten, die kein OAuth sind (Benutzername/Passwort, "
+            "API-Key): in die SKILL-KONFIGURATION (`skill_set_config`), nicht "
+            "in den Code und nicht in den Chat. Der Skill bekommt sie zur "
+            "Laufzeit als CFG_<NAME>-Umgebungsvariable."
         ),
     },
     {
@@ -235,9 +245,11 @@ SEED_RULES: List[dict] = [
         "content": (
             "Wenn ein API-Call gegen einen OAuth-Service 401 / 'unauthorized' / "
             "'token expired' zurueckgibt: RUFE ZUERST "
-            "`oauth_get_token('<service>')`. Brain holt entweder den noch "
-            "gueltigen Token oder refresht ihn automatisch ueber den "
-            "gespeicherten refresh_token. In 99% der Faelle reicht das.\n"
+            "`oauth_get_token('<service>')`. Das refresht automatisch ueber den "
+            "gespeicherten refresh_token und sagt Dir, ob wieder alles gueltig "
+            "ist (den Token selbst bekommst Du bewusst nicht — "
+            "`oauth_call` nutzt ihn fuer Dich). In 99% der Faelle reicht das: "
+            "danach denselben Aufruf einfach nochmal.\n"
             "\n"
             "Nur wenn `oauth_get_token` selbst einen Fehler wirft "
             "('refresh failed', 'no refresh_token', 'service nicht "