- Galerien sind nun eine Entität - es kann mehrere geben

- Neues Sparkbooth-Upload-Feature: Endpoint /api/sparkbooth/upload (Token-basiert pro Galerie), Controller Api/SparkboothUploadController, Migration 2026_01_21_000001_add_upload_fields_to_galleries_table.php mit Upload-Flags/Token/Expiry;
    Galerie-Modell und Factory/Seeder entsprechend erweitert.
  - Filament: Neue Setup-Seite SparkboothSetup (mit View) zur schnellen Galerie- und Token-Erstellung inkl. QR/Endpoint/Snippet;
    Galerie-Link-Views nutzen jetzt simple-qrcode (Composer-Dependency hinzugefügt) und bieten PNG-Download.
  - Galerie-Tabelle: Slug/Pfad-Spalten entfernt, Action „Link-Details“ mit Modal; Created-at-Spalte hinzugefügt.
  - Zugriffshärtung: Galerie-IDs in API (ImageController, Download/Print) geprüft; GalleryAccess/Middleware + Gallery-Modell/Slug-UUID
    eingeführt; GalleryAccess-Inertia-Seite.
  - UI/UX: LoadingSpinner/StyledImageDisplay verbessert, Delete-Confirm, Übersetzungen ergänzt.

app/Http/Controllers/DownloadController.php

@@ -14,11 +14,16 @@ class DownloadController extends Controller
     {
         $request->validate([
             'image_path' => 'required|string',
+            'gallery' => 'required|string|exists:galleries,slug',
         ]);
 
+        $gallery = \App\Models\Gallery::where('slug', $request->string('gallery'))->firstOrFail();
+
         $resolvedPath = $this->resolveImagePath($request->input('image_path'));
 
-        if (! $resolvedPath || ! File::exists($resolvedPath)) {
+        $expectedFragment = DIRECTORY_SEPARATOR.trim($gallery->images_path, '/').DIRECTORY_SEPARATOR;
+
+        if (! $resolvedPath || ! File::exists($resolvedPath) || ! str_contains($resolvedPath, $expectedFragment)) {
             Log::error("DownloadController: Image file not found at {$resolvedPath}");
 
             return response()->json(['error' => 'Image file not found.'], 404);