fix(auth): Add-credential-Challenges pro Versuch und single-use

Speichert Challenges nach challenge statt userId für parallele Flows und invalidiert sie vor der Verifikation, damit fehlgeschlagene Versuche keine Leaks hinterlassen.

Co-authored-by: Cursor <cursoragent@cursor.com>

client/src/services/auth.ts

@@ -613,7 +613,7 @@ export async function addPasskey(): Promise<void> {
 
   await apiJson(`${API_BASE}/add-credential-verify`, {
     method: 'POST',
-    body: JSON.stringify({ credentialResponse })
+    body: JSON.stringify({ credentialResponse, challenge: options.challenge })
   })
 
   const masterKey = getActiveMasterKey()