Block a user
[Quality] Logging-Infrastruktur + bare except eliminieren
[Quality] HTTP-Status-Codes vereinheitlichen + Job-Dict typisieren
[Quality] DRY: Tempdir-Validation und Extension-Listen zentralisieren
[Bug] Unbounded _jobs-Dict + Race in /export/download vs Cleanup
[Security] /browse und /move ohne Pfad-Sandboxing
[Security] DOM-XSS via innerHTML mit User-Inputs (Dateinamen, Browse)
[Security] IDOR: Job- und ZIP-IDs nicht an Session gebunden
[Perf/UX] Frontend: Polling-Backoff, Virtualisierung, Memo
[Perf] Thumbnail-Endpoint + pHash/EXIF-Cache
[Perf] Bilder werden 2-3x pro Bild dekodiert in analyze_folder
[Bug] Silent Failures: AI ohne Key, HEIC ohne pillow-heif, Export-Skips
[Bug] /download loescht Quelle auch bei fehlgeschlagenem ZIP-Schreiben
[Bug] Pillow-Resource-Leak: Image.open() ohne with-Statement
[Security] CORS, Security-Header, Token-Speicherung
[Security] Auth-Hardening: Timing-Attack, fehlendes Rate-Limit