Externe Datei-Links + Power-User-Rolle + PAROL6-Demo

Block A — Externe Links:
  - projekt_datei.extern_url: eine "Datei" kann Upload (BLOB) ODER Link sein
  - Link-Route /cockpit/projekt/<id>/link, Werkstatt-UI mit Link-Feld
  - Katalog + Detail rendern Links als "Oeffnen ↗", Uploads als Download
  - Upload-Limit 30 -> 60 MB (grosse Bambu-3MF); darueber: externer Link

Block B — Power-User-Rolle:
  - profil.rolle ('schueler'|'power'); Login setzt Session-Rolle
  - Decorator power_oder_admin; ist_power-Helper
  - Login-Kacheln: Power mit 🔧 statt Tier; Admin-Profilanlage mit Rollen-Dropdown
    (Tier nur bei schueler Pflicht, Power kriegt Platzhalter-Slug 'power')
  - Cockpit: kein Check-In fuer Power, stattdessen "Power-Werkzeuge"-Karte
  - Power-Projekt-Regeln: mehrere parallel erlaubt, Abschluss direkt 'freigegeben'
  - Rechte power_oder_admin: Drucker-Verwaltung, Software-Katalog,
    Slot-fuer-SuS, inline-edit (beschraenkt auf drucker+software_seite)
  - Bleibt admin-only: SuS-Profile, Projekt-Freigaben, Admin-Dashboard
  - Power-relevante Admin-Templates: Zurueck-Link rollenabhaengig (Cockpit statt Dashboard)

Block C — PAROL6-Demo:
  - scripts/seed_demo_parol6.py: Power-Profil 'Herb' + PAROL6-Roboterarm-Projekt
  - GitHub-Repo als Link, Bauanleitung-PDF als BLOB, Cover aus 3MF-Render
  - abgeschlossen+freigegeben -> im Katalog, als Vorlage waehlbar

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

services/auth.py

@@ -123,6 +123,30 @@ def admin_required(f):
     return wrapper
 
 
+def ist_power() -> bool:
+    """True, wenn der eingeloggte Nutzer ein Power-User-Profil ist."""
+    return session.get("rolle") == "power"
+
+
+def power_oder_admin(f):
+    """Erlaubt Admin-Session ODER eingeloggtes Power-User-Profil.
+
+    Fuer Bereiche, die fortgeschrittene SuS mitverwalten duerfen
+    (Drucker, Software-Katalog, Slots fuer andere) — NICHT fuer
+    SuS-Verwaltung oder Projekt-Freigaben.
+    """
+    @wraps(f)
+    def wrapper(*args, **kwargs):
+        if session.get("admin") or ist_power():
+            return f(*args, **kwargs)
+        # Power-Profil eingeloggt aber falsche Rolle, oder gar nicht eingeloggt
+        if session.get("profil_id"):
+            flash("Dafuer fehlen dir die Rechte.", "error")
+            return redirect(url_for("profil.cockpit"))
+        return redirect(url_for("admin.admin_login"))
+    return wrapper
+
+
 def onboarding_l1_fertig(f):
     """V2: blockiert Slot-Routes, bis L1 (Sicherheits-Lektion) abgeschlossen ist."""
     @wraps(f)