feat: technisches Grundgerüst für Instagram-/TikTok-OAuth (Plattform-Verbindung)

Vorbereitung für automatische Beweissicherung statt manuellem
Screenshot-Upload: ein Kunde kann künftig seinen eigenen Instagram-
oder TikTok-Account per Standard-OAuth-Consent verbinden. Bewusst nur
das Grundgerüst — Meta/TikTok verlangen vor öffentlicher Nutzung eine
einmalige Business-Verification/App-Review (Wochen Vorlauf, siehe
CLAUDE.md-Abschnitt "Plattform-Verbindung (OAuth)"), die separat von
dieser Codeänderung läuft.

- internal/socialconnect: Connector-Interface + InstagramConnector/
  TikTokConnector (reiner Authorization-Code-Flow, kein DB-Zugriff).
  Instagram tauscht den Code zweistufig (kurzlebiges → 60-Tage-Token),
  TikTok liefert Access-/Refresh-Token direkt. Endpunkte/Scopes wurden
  gegen aktuelle Entwicklerdokumentation gebaut, nie gegen die echte
  API verifiziert (keine Zugangsdaten vorhanden) — Hinweis dazu im
  Paket- und CLAUDE.md-Kommentar.
- Migration 0006: platform_connection (NICHT append-only, anders als
  finding/extraction/asset — ein Token wird ersetzt, keine Korrektur-
  Zeile), höchstens eine Verbindung pro Account+Plattform.
- internal/web: GET /verbindungen (Übersicht je Plattform: verbunden/
  nicht verbunden/nicht konfiguriert), GET /oauth/{platform}/start
  (State-Cookie gegen CSRF, Redirect zum Consent-Screen),
  GET /oauth/{platform}/callback (State prüfen, Code tauschen,
  Verbindung speichern), POST /verbindungen/{platform}/trennen.
- Ohne gesetzte Client-Credentials + PUBLIC_BASE_URL bleibt die
  Funktion inaktiv (kein Connector konfiguriert, /verbindungen zeigt
  "nicht konfiguriert", kein Absturz) — main.go loggt das beim Start.

Volle Testsuite inkl. echter Postgres-Tests grün; OAuth-Flow gegen
Fake-Connector/httptest-Server verifiziert (State-Mismatch, Ablehnung
durch Nutzer, Token-Speicherung, Mandantentrennung). Kein Live-Test
gegen echte Meta-/TikTok-Endpunkte möglich, da noch keine echten
Client-Credentials existieren.

internal/socialconnect/tiktok.go

@@ -0,0 +1,95 @@
+package socialconnect
+
+import (
+	"context"
+	"fmt"
+	"net/http"
+	"net/url"
+	"time"
+)
+
+const (
+	tiktokDefaultAuthorizeURL = "https://www.tiktok.com/v2/auth/authorize/"
+	tiktokDefaultTokenURL     = "https://open.tiktokapis.com/v2/oauth/token/"
+
+	// user.info.basic reicht für Profil-Grunddaten; video.list für den
+	// späteren Abruf veröffentlichter Videos (Beweissicherung). Mehr
+	// Scopes verlangen als nötig verzögert nur den Audit, siehe
+	// Paket-Kommentar.
+	tiktokScope = "user.info.basic,video.list"
+)
+
+// TikTokConnector implementiert Connector für TikTok Login Kit v2 (Web-
+// Flow — PKCE ist bei TikTok nur für Desktop/Mobile-Apps Pflicht, beim
+// Web-Flow schützt allein der state-Parameter gegen CSRF, siehe
+// TikTok-Dokumentation "Web").
+type TikTokConnector struct {
+	ClientKey    string
+	ClientSecret string
+	RedirectURL  string
+
+	// Überschreibbar für Tests (Default: die echten TikTok-Endpunkte).
+	AuthorizeURL string
+	TokenURL     string
+	HTTPClient   *http.Client
+}
+
+// NewTikTokConnector erstellt einen TikTokConnector mit den echten
+// TikTok-Endpunkten.
+func NewTikTokConnector(clientKey, clientSecret, redirectURL string) *TikTokConnector {
+	return &TikTokConnector{
+		ClientKey:    clientKey,
+		ClientSecret: clientSecret,
+		RedirectURL:  redirectURL,
+		AuthorizeURL: tiktokDefaultAuthorizeURL,
+		TokenURL:     tiktokDefaultTokenURL,
+		HTTPClient:   http.DefaultClient,
+	}
+}
+
+func (c *TikTokConnector) Platform() string { return "tiktok" }
+
+func (c *TikTokConnector) AuthorizationURL(state string) string {
+	v := url.Values{
+		"client_key":    {c.ClientKey},
+		"redirect_uri":  {c.RedirectURL},
+		"scope":         {tiktokScope},
+		"response_type": {"code"},
+		"state":         {state},
+	}
+	return c.AuthorizeURL + "?" + v.Encode()
+}
+
+func (c *TikTokConnector) Exchange(ctx context.Context, code string) (Token, error) {
+	form := url.Values{
+		"client_key":    {c.ClientKey},
+		"client_secret": {c.ClientSecret},
+		"code":          {code},
+		"grant_type":    {"authorization_code"},
+		"redirect_uri":  {c.RedirectURL},
+	}
+	var resp struct {
+		AccessToken      string `json:"access_token"`
+		RefreshToken     string `json:"refresh_token"`
+		ExpiresIn        int    `json:"expires_in"`
+		OpenID           string `json:"open_id"`
+		Error            string `json:"error"`
+		ErrorDescription string `json:"error_description"`
+	}
+	if err := postForm(ctx, c.HTTPClient, c.TokenURL, form, &resp); err != nil {
+		return Token{}, fmt.Errorf("socialconnect: tiktok code exchange: %w", err)
+	}
+	if resp.Error != "" {
+		return Token{}, fmt.Errorf("socialconnect: tiktok code exchange: %s: %s", resp.Error, resp.ErrorDescription)
+	}
+	if resp.AccessToken == "" {
+		return Token{}, fmt.Errorf("socialconnect: tiktok code exchange: kein access_token in der Antwort")
+	}
+
+	return Token{
+		AccessToken:    resp.AccessToken,
+		RefreshToken:   resp.RefreshToken,
+		ExpiresAt:      time.Now().Add(time.Duration(resp.ExpiresIn) * time.Second),
+		PlatformUserID: resp.OpenID,
+	}, nil
+}