refactor(quick-260921-bi2): maschinelle Lint-Fixe und toten Code abbauen

- Aufgabe 2: vier sichere Biome-Regeln (useImportType pfadgebunden auf
  apps/web+packages, noUselessEscapeInRegex, useConst,
  useExponentiationOperator) sowie fuenf ungesicherte Regeln
  (useNodejsImportProtocol, useLiteralKeys, useOptionalChain, useTemplate,
  useParseIntRadix) angewendet und den gesamten Diff von Hand gelesen
  (ldap.service.ts zeichenweise gegen Gross-/Kleinschreibung der
  AD-Merkmale, auth.service.ts/jwt.strategy.ts gegen Durchwinken bei
  fehlender Sitzung geprueft)
- noUselessSwitchCase bleibt bewusst stehen (tender-normalizer.service.ts:60,
  die Fallmarke dokumentiert Absicht)
- Toter Code (D-03): fuenf folgenlose Auffangvariablen entfernt, eine
  nicht benutzte Funktion (forSystemQuery, Pruefskript) entfernt, ein
  positionsgebundener Dekoratorparameter umbenannt (current-user.decorator.ts),
  fuenf Symptomfunde entfernt und als Folgeaufgaben zu melden (siehe unten)
- Sechs weitere, im Plan nicht namentlich gelistete aber
  gleich-kategorische Dead-Code-Fundstellen in Testdateien zusaetzlich
  bereinigt (groups.service.spec.ts, cert-manager.test.tsx,
  ldap.service.spec.ts, prisma-tenant.extension.spec.ts x3) — noetig, um
  die vom Plan selbst verlangten Nullstaende bei noUnusedVariables/
  noUnusedImports/noUnusedFunctionParameters zu erreichen

Dekoratordaten aus apps/api unveraendert (593 Zeilen, sha256 6e1583f1...).
Endstand 620 Befunde (541 echt, 79 Test) statt der im Plan geschaetzten
621/542 — eine Differenz von 1, weil das Streichen des Namens aus
`catch (e: any)` in calendar.service.ts (Symptom-Fix) den dort ebenfalls
gemeldeten noExplicitAny-Befund miteliminiert; das ist eine erwuenschte
Nebenwirkung, keine Regression. Fehlerstufe 0, beide Testlaeufe
punktgleich gruen (69/1124, 66/459), pnpm type-check 4/4, pnpm lint
--force 5/5.

Folgeaufgaben aus D-03 (nicht in diesem Vorgang behoben):
- force-password-change.interceptor.ts: Freigabeliste prueft nur den Pfad,
  nicht die HTTP-Methode
- change-password/page.tsx: nach erzwungenem Wechsel bleibt die Person auf
  der Seite stehen (keine Weiterleitung, keine Aktualisierung der
  Benutzerablage)
- VehicleTable.tsx: Loeschschaltflaeche hat keinen Besetztzustand, laesst
  sich doppelt ausloesen
- SplitTab.tsx: downloadAllAsZip erhielt eine ungenutzte
  Uebersetzungsfunktion, Hinweis auf fest verdrahtete Texte im Zip-Pfad

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01TPPB4ApQxzSU1rwV2Ffj9J

apps/api/src/ldap/ldap-config.service.spec.ts

@@ -84,7 +84,7 @@ describe('LdapConfigService — Bind-Passwort verschluesselt at rest', () => {
 
     const written = prisma.ldapConfig.create.mock.calls[0][0].data;
     expect(written.encryptedBindPassword).toBe(
-      'aa11:bb22:' + Buffer.from('geheim').toString('hex'),
+      `aa11:bb22:${Buffer.from('geheim').toString('hex')}`,
     );
     expect(JSON.stringify(written)).not.toContain('geheim');
     // Die alte Klartext-Spalte darf nicht wieder auftauchen.
@@ -95,7 +95,7 @@ describe('LdapConfigService — Bind-Passwort verschluesselt at rest', () => {
     await service.updateConfig('t1', { bindPassword: 'neu' } as any);
     const first = prisma.ldapConfig.update.mock.calls[0][0].data;
     expect(first.encryptedBindPassword).toBe(
-      'aa11:bb22:' + Buffer.from('neu').toString('hex'),
+      `aa11:bb22:${Buffer.from('neu').toString('hex')}`,
     );
 
     await service.updateConfig('t1', { serverUrl: 'ldap://anders' } as any);
@@ -113,7 +113,7 @@ describe('LdapConfigService — Bind-Passwort verschluesselt at rest', () => {
   it('gibt Aufrufern weiterhin ein entschluesseltes bindPassword', async () => {
     prisma.ldapConfig.findUnique.mockResolvedValue({
       ...CONFIG_ROW,
-      encryptedBindPassword: 'aa11:bb22:' + Buffer.from('geheim').toString('hex'),
+      encryptedBindPassword: `aa11:bb22:${Buffer.from('geheim').toString('hex')}`,
     });
 
     const config: any = await service.getConfig('t1');
@@ -156,7 +156,7 @@ describe('LdapConfigService — Bind-Passwort verschluesselt at rest', () => {
       {
         id: 'b',
         tenantId: 't2',
-        encryptedBindPassword: 'aa11:bb22:' + Buffer.from('schon').toString('hex'),
+        encryptedBindPassword: `aa11:bb22:${Buffer.from('schon').toString('hex')}`,
       },
       { id: 'c', tenantId: 't3', encryptedBindPassword: null },
     ]);
@@ -167,7 +167,7 @@ describe('LdapConfigService — Bind-Passwort verschluesselt at rest', () => {
     const call = prisma.ldapConfig.update.mock.calls[0][0];
     expect(call.where).toEqual({ id: 'a' });
     expect(call.data.encryptedBindPassword).toBe(
-      'aa11:bb22:' + Buffer.from('klartext').toString('hex'),
+      `aa11:bb22:${Buffer.from('klartext').toString('hex')}`,
     );
   });
 
@@ -176,7 +176,7 @@ describe('LdapConfigService — Bind-Passwort verschluesselt at rest', () => {
       {
         id: 'a',
         tenantId: 't1',
-        encryptedBindPassword: 'aa11:bb22:' + Buffer.from('x').toString('hex'),
+        encryptedBindPassword: `aa11:bb22:${Buffer.from('x').toString('hex')}`,
       },
     ]);
 
@@ -354,7 +354,7 @@ describe('LdapConfigService — Bindung an forTenant() (260909-ipc)', () => {
     const call = boundClient.ldapConfig.update.mock.calls[0][0];
     expect(call.where).toEqual({ id: 'alt' });
     expect(call.data.encryptedBindPassword).toBe(
-      'aa11:bb22:' + Buffer.from('klartext').toString('hex'),
+      `aa11:bb22:${Buffer.from('klartext').toString('hex')}`,
     );
     // Der rohe Client schreibt NICHT.
     expect(prisma.ldapConfig.update).not.toHaveBeenCalled();