fix(auth): Anmeldung unter Node 24 (Proxy um NextRequest)

Next reicht Route-Handlern einen Proxy um NextRequest. undici 7 (Node 24)
prueft private Felder (#state), die ein Proxy nicht besitzt; new Request(request)
warf "Cannot read private member #state" und jede /api/auth-Anfrage endete
lokal mit 500. Produktion (Node 22, undici 6) war nicht betroffen.

withClientIp baut die Anfrage jetzt aus URL, Methode, Headern und Body neu.
Regressionstest mit einem Proxy wie in Next.

src/app/api/auth/[...all]/route.ts

@@ -3,9 +3,9 @@ import { getAuth } from "@/lib/auth";
 import { withClientIp } from "@/lib/rate-limit";
 
 export async function GET(request: Request) {
-  return toNextJsHandler(getAuth()).GET(withClientIp(request));
+  return toNextJsHandler(getAuth()).GET(await withClientIp(request));
 }
 
 export async function POST(request: Request) {
-  return toNextJsHandler(getAuth()).POST(withClientIp(request));
+  return toNextJsHandler(getAuth()).POST(await withClientIp(request));
 }

src/lib/rate-limit.ts

@@ -147,7 +147,15 @@ export function headersWithClientIp(source: Headers): Headers {
   return headers;
 }
 
-/** Kopie der Anfrage mit CLIENT_IP_HEADER aus clientIp(); ein mitgeschickter Wert wird ersetzt. */
-export function withClientIp(request: Request): Request {
-  return new Request(request, { headers: headersWithClientIp(request.headers) });
+/**
+ * Kopie der Anfrage mit CLIENT_IP_HEADER aus clientIp(); ein mitgeschickter Wert wird ersetzt.
+ *
+ * Bewusst aus URL, Methode und Body neu gebaut statt `new Request(request, …)`:
+ * Next reicht Route-Handlern einen Proxy um NextRequest, und undici 7 (Node 24)
+ * prueft private Felder (#state), die ein Proxy nicht hat ("Cannot read private
+ * member #state"). Unter Node 22 (undici 6, Symbole) fiel das nicht auf.
+ */
+export async function withClientIp(request: Request): Promise<Request> {
+  const body = request.method === "GET" || request.method === "HEAD" ? undefined : await request.arrayBuffer();
+  return new Request(request.url, { method: request.method, headers: headersWithClientIp(request.headers), body, signal: request.signal });
 }