feat: Login-as-User (Impersonate) + Default-Path pro User

Admin:
- POST /api/admin/users/{userId}/impersonate – erstellt Token für Zieluser
- Login-as-Button (fa-sign-in) in User-Liste (nicht für sich selbst)
- confirm-Dialog, danach location.reload() mit neuem User-Kontext
- Default-Path Feld + Browse-Button im Admin-Formular

Default-Path:
- Neues Feld default_path in users-Tabelle (TryAddColumn Migration)
- UserRecord.DefaultPath Property
- In allen Endpoints: Admin CRUD, Auth /me, Profile Get/Update
- Profil-Seite: Default-Path Feld + Browse-Button
- Session-Seite: Workspace-Browse nutzt defaultPath als Fallback

wwwroot/js/api.js

@@ -463,6 +463,15 @@ async function apiAdminDeleteUser(userId) {
   return resp.json();
 }
 
+async function apiAdminImpersonate(userId) {
+  const resp = await fetch('/api/admin/users/' + userId + '/impersonate', { method: 'POST' });
+  if (!resp.ok) {
+    const err = await resp.json();
+    throw new Error(err.error || 'Fehler beim Anmelden');
+  }
+  return resp.json();
+}
+
 // ── Backup API ──
 
 async function apiBackupDb() {