cms: Rollen + Kollaboration (Admin sieht alles, Autoren nur eigene/geteilte)

- ADMIN_EMAILS (.env) = Admins, sehen/bearbeiten alles
- Autor:innen sehen nur Einträge mit ihrer Mail unter `authors:`; Ersteller wird
  beim Anlegen automatisch Autor
- Kollaboration: Feld „Autor:innen" im Editor → mehrere Mails = gemeinsamer Zugriff
- API erzwingt Zugriff bei list/read/save (403 ohne Recht)
- ADMIN_EMAILS in compose + LXC-Script (fragt Admin-Mail ab)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cms/.env.example

@@ -15,6 +15,11 @@ SITE_URL=http://localhost:8080
 # Öffentliche Supabase-Adresse (Browser/Admin erreichen Kong hierüber).
 API_EXTERNAL_URL=http://localhost:8000
 
+# ═══ Rechte: wer ist Admin (sieht/bearbeitet ALLE Beiträge)? ═══
+# Komma-getrennte E-Mails. Alle anderen sehen nur Einträge, in denen ihre Mail
+# unter `authors` steht.
+ADMIN_EMAILS=karim@gabrielevarano.ch
+
 # ═══ Optional: Ports ═══
 APP_PORT=8080          # CMS: Site + /admin + /_preview + /api
 KONG_HTTP_PORT=8000    # Supabase-API-Gateway