RET-10: cors-fuer-ret-06-api

- archive/internal/retentionapi.CORS: erlaubt genau einen konfigurierten
  Origin (kein Wildcard), beantwortet OPTIONS-Preflights direkt
- cmd/retention-api: neue Pflicht-Env NEXARCH_RETENTION_CORS_ALLOWED_ORIGIN,
  mux mit CORS umschlossen
- gefunden durch Sichtpruefung des laufenden RET-06-Frontends: curl
  umgeht CORS, ein echter Browser haette den Fetch blockiert - weder
  Go- noch Vitest-Tests konnten das strukturell erfassen
- 3 Tests: erlaubter Origin bekommt Header, Preflight korrekt
  beantwortet, fremder Origin bekommt keinen Header
- real deployed auf 131, genau der bei der Sichtpruefung fehlgeschlagene
  Aufruf (Origin http://127.0.0.1:3099) liefert jetzt 200 mit korrektem
  Access-Control-Allow-Origin

Pruefungen siehe archive/docs/RET-10-PRUEFPROTOKOLL.md

archive/internal/retentionapi/cors.go

@@ -0,0 +1,27 @@
+package retentionapi
+
+import "net/http"
+
+// CORS ist RET-10: retention-api hatte bislang keine CORS-Header, ein
+// echter Browser blockierte daher Fetches vom RET-06-Frontend (anderer
+// Origin/Port) — real per Sichtprüfung gefunden, nicht durch die
+// ursprünglichen RET-06/RET-06-API-Prüfungen erfasst (curl/Vitest-Fetch
+// erzwingen keine Same-Origin-Policy). Erlaubt GENAU EINEN konfigurierten
+// Origin, kein Wildcard — verhindert, dass jede beliebige Website die
+// Fristenkonfiguration im Namen eines eingeloggten Nutzers aufrufen kann.
+func CORS(allowedOrigin string, next http.Handler) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		origin := r.Header.Get("Origin")
+		if origin != "" && origin == allowedOrigin {
+			w.Header().Set("Access-Control-Allow-Origin", allowedOrigin)
+			w.Header().Set("Vary", "Origin")
+			w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")
+			w.Header().Set("Access-Control-Allow-Headers", "Content-Type, X-User-Role")
+		}
+		if r.Method == http.MethodOptions {
+			w.WriteHeader(http.StatusNoContent)
+			return
+		}
+		next.ServeHTTP(w, r)
+	}
+}