feat(deps): react-router v8 migration (fix GHSA-qwww-vcr4-c8h2)

[WolfTasks]

Warum

GHSA-qwww-vcr4-c8h2 (CSRF, CWE-352, CVSS 7.1) war seit dem 2026-07-29 per .trivyignore + audit-gate.mjs-ALLOWLIST unterdrückt. Die Begründung war korrekt — das CVE betrifft ausschließlich den unstable RSC-Modus, und TaskWolf ist eine reine Client-SPA — aber ein Fix gab es nur in react-router 8.3.0, und das ist ein Major, in dem react-router-dom aufgelöst wurde.

Dieser PR behebt das CVE echt und entfernt die Unterdrückungen wieder. Umgesetzt nach Plan docs/superpowers/plans/2026-07-29-react-router-v8-migration-impl.md (PR 1 von 2).

Was

Commit	Inhalt
14f1939	react-router-dom@^7.18.1 → react-router@^8.3.1; react-router-dom komplett raus (auch aus dem Lockfile)
cd4c826	42 Dateien von from 'react-router-dom' auf from 'react-router'; RouterProvider in main.tsx aus react-router/dom (Sonderfall in v8)
a26ae2d	CI setup-node 20 → 22 (react-router v8 verlangt Node ≥ 22.22 zur Build-Zeit)
532e59e	.trivyignore-Block und audit-gate.mjs-ALLOWLIST entfernt → beide Gates laufen wieder ohne Ausnahme

Bewusst kein Umbau auf Loader/Actions/Data-Router — die Routen bleiben element-basiert (element: <Page/>), wir bleiben im Library-Mode mit createBrowserRouter + RouterProvider. Reine Security-Migration, minimaler Blast-Radius.

Verifikation

• Baseline vor der Änderung grün (npm ci && npx tsc --noEmit)
• Nach dem Paket-Swap gezielt der rote Zustand bestätigt: exakt 42× Cannot find module 'react-router-dom' — belegt, dass die Import-Umstellung vollständig sein muss
• Nach der Umstellung: npx tsc --noEmit und npm run build grün; grep -rn "react-router-dom" src/ ohne Treffer
• Lockfile: grep -c "node_modules/react-router-dom" = 0
• npm audit --audit-level=high → exit=0, also keine HIGH/CRITICAL mehr
• Gate scharf ohne Ausnahme: node ../.github/scripts/audit-gate.mjs → ✅, und die Zeile „Aktive begründete Ausnahmen" ist verschwunden

Offen

• Manueller DE/EN-Browser-Smoke (Plan A5 Schritt 3) — Merge-Gate, das ich nicht abdecken kann: Login → Sidebar (useMatch) → Board → Issue-Dialog via ?issue= (useSearchParams) → Settings-Tabs (Outlet) → Deep-Link /p/:key/issues/:issueKey (useParams).
• Dependabot-PR build(deps): bump react-router and react-router-dom in /frontend #108 (bumpt react-router/react-router-dom innerhalb v7) wird hierdurch gegenstandslos → als superseded schließen.
• PR 2 (Lazy-Code-Splitting) setzt hierauf auf.

🤖 Generated with Claude Code