feat: board-first orchestration with Gateway Bridge, live-update, and flow-board

- GatewayBridgeController: MCP-artiger Kommando-Adapter für Agent-zu-Backend
- TaskBridgeService + LiveUpdateService: SSE Live-Sync + Bridge-Kommandos
- FlowBoard.vue: Board-first orchestration dashboard panel
- live-sync.ts store + live.ts service: SSE-basierte Live-Updates
- Nullability-Warnung in HealthController.cs gefixt
- nginx.conf: SSE-Proxy + CORS für Bridge-Endpunkte
- .gitignore: pnpm/corepack local caches ausgeschlossen
- docs: architecture-board-first-orchestration.md hinzugefügt
- README: Backend Bridge API dokumentiert

backend/Controllers/TasksController.cs

@@ -7,9 +7,10 @@ using Nexus.Api.Services;
 
 namespace Nexus.Api.Controllers;
 
+[Authorize]
 [ApiController]
 [Route("api/v1/tasks")]
-public class TasksController(ITaskService taskService) : ControllerBase
+public class TasksController(ITaskService taskService, IAgentService agentService) : ControllerBase
 {
     [HttpGet]
     public async Task<IResult> GetAll(CancellationToken ct)
@@ -111,21 +112,57 @@ public class TasksController(ITaskService taskService) : ControllerBase
     /// <summary>
     /// Gibt das Task-Board zurück (gruppiert nach Status, priorisiert sortiert).
     /// Wird vom Iris Autonomous Worker genutzt.
+    ///
+    /// SICHERHEIT: Erfordert X-Agent-Id Header (bel. erkannter Agent) ODER
+    /// X-Nexus-Api-Key / JWT. Kein [AllowAnonymous] mehr.
+    /// Für Agent-zu-Agent-Kommunikation den /api/bridge/board Endpunkt nutzen.
     /// </summary>
-    [AllowAnonymous]
     [HttpGet("board")]
     public async Task<IResult> GetBoard(CancellationToken ct)
-        => Results.Ok(await taskService.GetBoardAsync(ct));
+    {
+        // Erfordert mindestens einen identifizierbaren Agent-Aufrufer
+        var agentHeader = await GetAllowedAgentHeaderAsync(ct);
+        var isApiKey = HttpContext.User.IsInRole("Service");
+        var isAuth = HttpContext.User.Identity?.IsAuthenticated == true;
+
+        if (string.IsNullOrWhiteSpace(agentHeader) && !isApiKey && !isAuth)
+            return Results.Unauthorized();
+
+        return Results.Ok(await taskService.GetBoardAsync(ct));
+    }
 
     /// <summary>
     /// Setzt stale Tasks (InProgress, älter als N Stunden) zurück auf Backlog.
     /// Wird vom Iris Autonomous Worker genutzt.
+    ///
+    /// SICHERHEIT: Erfordert X-Agent-Id Header (nur iris) ODER
+    /// X-Nexus-Api-Key / JWT-authenticated user.
+    /// Für Agent-zu-Agent-Kommunikation den /api/bridge Endpunkt nutzen.
     /// </summary>
-    [AllowAnonymous]
     [HttpPost("reset-stale")]
     public async Task<IResult> ResetStale([FromBody] ResetStaleRequest request, CancellationToken ct)
     {
+        var agentHeader = await GetAllowedAgentHeaderAsync(ct);
+        var isApiKey = HttpContext.User.IsInRole("Service");
+        var isAuth = HttpContext.User.Identity?.IsAuthenticated == true;
+
+        // Nur iris, nexus-system (ApiKey) oder JWT-authenticated user
+        var isIris = string.Equals(agentHeader, "iris", StringComparison.OrdinalIgnoreCase);
+        if (!isIris && !isApiKey && !isAuth)
+            return Results.Unauthorized();
+
         var count = await taskService.ResetStaleAsync(request.StaleHours, ct);
         return Results.Ok(new ResetStaleResponse(count));
     }
+
+    private async Task<string?> GetAllowedAgentHeaderAsync(CancellationToken ct)
+    {
+        var headerValue = HttpContext.Request.Headers["X-Agent-Id"].FirstOrDefault();
+        if (string.IsNullOrWhiteSpace(headerValue))
+            return null;
+
+        var normalized = headerValue.Trim().ToLowerInvariant();
+        var allowed = await agentService.GetAllowedAgentIdsAsync(ct);
+        return allowed.Contains(normalized) ? normalized : null;
+    }
 }