RET-10: cors-fuer-ret-06-api

- archive/internal/retentionapi.CORS: erlaubt genau einen konfigurierten
  Origin (kein Wildcard), beantwortet OPTIONS-Preflights direkt
- cmd/retention-api: neue Pflicht-Env NEXARCH_RETENTION_CORS_ALLOWED_ORIGIN,
  mux mit CORS umschlossen
- gefunden durch Sichtpruefung des laufenden RET-06-Frontends: curl
  umgeht CORS, ein echter Browser haette den Fetch blockiert - weder
  Go- noch Vitest-Tests konnten das strukturell erfassen
- 3 Tests: erlaubter Origin bekommt Header, Preflight korrekt
  beantwortet, fremder Origin bekommt keinen Header
- real deployed auf 131, genau der bei der Sichtpruefung fehlgeschlagene
  Aufruf (Origin http://127.0.0.1:3099) liefert jetzt 200 mit korrektem
  Access-Control-Allow-Origin

Pruefungen siehe archive/docs/RET-10-PRUEFPROTOKOLL.md

archive/cmd/retention-api/main.go

@@ -34,6 +34,11 @@ func main() {
 	if rbacServiceToken == "" {
 		log.Fatal("NEXARCH_RETENTION_RBAC_SERVICE_TOKEN muss gesetzt sein")
 	}
+	// RET-10: erlaubter Frontend-Origin fuer CORS, KEIN Wildcard.
+	corsOrigin := os.Getenv("NEXARCH_RETENTION_CORS_ALLOWED_ORIGIN")
+	if corsOrigin == "" {
+		log.Fatal("NEXARCH_RETENTION_CORS_ALLOWED_ORIGIN muss gesetzt sein (Origin des RET-06-Frontends)")
+	}
 
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, dsn)
@@ -48,8 +53,10 @@ func main() {
 	retentionapi.Mount(mux, pool, rbac)
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 
-	log.Printf("retention-api: listening on %s", addr)
-	if err := http.ListenAndServe(addr, mux); err != nil {
+	handler := retentionapi.CORS(corsOrigin, mux)
+
+	log.Printf("retention-api: listening on %s (cors origin: %s)", addr, corsOrigin)
+	if err := http.ListenAndServe(addr, handler); err != nil {
 		log.Fatalf("http server: %v", err)
 	}
 }