Address security review notes

- log only the error name for rejected 4xx requests (JSON.parse messages
  can quote the request body, e.g. a password)
- refuse LB_DATABASE_PATH in production; it is test-only
- fix two stale file references in the skill texts

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.agents/skills/authz-idor-audit/SKILL.md

@@ -21,7 +21,7 @@ fremde Objekte“ (IDOR). Dieser Skill macht die Rechte explizit und testbar.
 ### 1. Routen und Rollen erfassen
 - Alle Routen auflisten: FastAPI aus `app.openapi()["paths"]` (nicht aus `app.routes`,
   eingebundene Router fehlen dort je nach Version), Express aus dem Routen-Inventar der
-  Baseline (`tests/security/routes.ts`) oder per `grep -rn "router\.\(get\|post\|put\|patch\|delete\)"`.
+  Baseline (`tests/security/route-inventory.ts`) oder per `grep -rn "router\.\(get\|post\|put\|patch\|delete\)"`.
 - Rollen und Identitätsquelle aus dem Code ermitteln (Session, JWT, Proxy-Header, OIDC-Claims).
 
 ### 2. Rollenmatrix aufstellen