Security: Cloud-Auth auf Bearer-JWT umgestellt (IDOR-Luecke geschlossen)

- cloud_service: echter Login gegen baka-auth, Token statt X-API-Key/X-User
- app_config: hartcodierten API-Key-Default entfernt
- download_service + melo_logger: Bearer-Token statt X-API-Key
- navidrome: Passwort in flutter_secure_storage (Keychain/Keystore)
- song: token-haltige stream_url wird nicht mehr in SQLite persistiert
- cloud_screen: Pfad-Traversal beim Download-Dateinamen gefixt (p.basename)
- home_screen: Login-Dialog mit Passwort-Feld, Auto-Sync nutzt restoreLogin

lib/config/app_config.dart

@@ -0,0 +1,16 @@
+/// Zentrale App-Konfiguration – alle URLs, Keys, Feature-Toggles
+class AppConfig {
+  // Server-Adressen
+  static const navidromeUrl = 'https://musik.baka-net.de';
+  static const cloudUrl = 'https://cloud.baka-net.de';
+  static const logUrl = 'https://baka-net.de';
+  static const authUrl = 'https://baka-net.de/auth';
+
+  // Auth läuft über Bearer-Token aus dem Cloud-Login — KEIN hartcodierter Key mehr.
+  // (Alter Key melo-cloud-2026-secret-key wurde entfernt: steckte in jeder APK.)
+  static const ytProxyApiKey = String.fromEnvironment('MELO_API_KEY',
+      defaultValue: '');
+
+  // Feature-Toggles
+  static bool sendeDiagnosedaten = true;
+}