Initial: Rust-Backend mit Clean Architecture (domain/application/infrastructure/api)

Vier-Crate-Workspace mit:
- Domain: Account, Car, Tour, Delivery, DeliveryItem, DeliveryNote, Customer,
  Article, Warehouse, ScanState, AuditAction — alle mit serde + feature-gated
  utoipa::ToSchema.
- Application: Ports (TourRepository, DeliveryRepository, ScanRepository,
  DeliveryNoteRepository, CarRepository, AuthService) und Use Cases.
- Infrastructure: Postgres-Adapter via sqlx (PgTourRepository etc.) +
  Keycloak-AuthService mit JWKS-Cache + OIDC-Discovery.
- API: Axum 0.8, utoipa-OpenAPI + Swagger-UI, JWT-Bearer-Middleware,
  AuthenticatedUser-Extractor.

Endpoints:
- GET /me/tours/today, /tours/{id}, /accounts/{pn}, /me/cars, /health
- POST /sync/tour, /scans (bulk + idempotent via clientScanId),
  /deliveries/{id}/{hold,resume,cancel,complete,notes}, /me/cars
- PUT /tours/{id}/delivery-order, /deliveries/{id}/assigned-car, /me/cars/{id}
- PATCH /me/cars/{id}

Datenmodell:
- 6 Migrationen (accounts, tours/deliveries/items + Stammdaten,
  scan_audit mit clientScanId-UNIQUE, state_reason refactor,
  delivery_notes, cars + FKs nachziehen).
- Business-stabile Beleg-Keys (belegart_id, belegnummer) für ERP-Sync.
- Append-only scan_audit + embedded scan_state als doppelte Wahrheit.

Dev-Setup:
- docker-compose mit Postgres 17 + Keycloak 26
- Keycloak-Realm 'holzleitner' mit Public-Client (PKCE), Testfahrer
  (PN 1001) + Audience-/Personalnummer-Mapper

crates/api/src/config.rs

@@ -0,0 +1,97 @@
+//! Konfiguration aus Umgebungsvariablen (12-Factor-Stil).
+//!
+//! Für lokale Entwicklung lädt [`load`] zunächst eine optionale `.env`
+//! Datei und parst dann pro Bereich (Server, Database, Keycloak) mit
+//! Prefix-Filter über `envy`. So bleiben die Strukturen klar getrennt
+//! und Fehlermeldungen verraten den genauen Bereich.
+
+use serde::Deserialize;
+
+#[derive(Debug, Clone)]
+pub struct Config {
+    pub server: ServerConfig,
+    pub database: DatabaseConfig,
+    #[allow(dead_code)] // wird in der Keycloak-Phase verdrahtet
+    pub keycloak: KeycloakConfig,
+}
+
+#[derive(Debug, Clone, Deserialize)]
+pub struct ServerConfig {
+    pub host: String,
+    pub port: u16,
+}
+
+#[derive(Debug, Clone, Deserialize)]
+pub struct DatabaseConfig {
+    pub url: String,
+    #[serde(default = "default_max_connections")]
+    pub max_connections: u32,
+}
+
+fn default_max_connections() -> u32 {
+    10
+}
+
+/// Felder werden in der Keycloak-Phase angefasst — bis dahin Dead-Code-
+/// Warnings unterdrücken.
+#[allow(dead_code)]
+#[derive(Debug, Clone, Deserialize)]
+pub struct KeycloakConfig {
+    pub issuer_url: String,
+    pub audience: String,
+    #[serde(default = "default_jwks_cache_ttl")]
+    pub jwks_cache_ttl_seconds: u64,
+}
+
+fn default_jwks_cache_ttl() -> u64 {
+    3600
+}
+
+/// Lädt die Konfiguration aus Umgebungsvariablen.
+///
+/// Reihenfolge:
+/// 1. Optionale `.env`-Datei im Arbeitsverzeichnis (für Local-Dev).
+/// 2. Pro Bereich werden Variablen mit passendem Prefix gelesen:
+///    * `SERVER_*`     für [`ServerConfig`]
+///    * `DATABASE_*`   für [`DatabaseConfig`]
+///    * `KEYCLOAK_*`   für [`KeycloakConfig`]
+pub fn load() -> Result<Config, ConfigError> {
+    // `.env` ist optional — in Produktion kommen die Werte aus dem
+    // System-Environment.
+    let _ = dotenvy::dotenv();
+
+    let server = envy::prefixed("SERVER_")
+        .from_env::<ServerConfig>()
+        .map_err(|e| ConfigError::Section {
+            section: "SERVER",
+            source: e,
+        })?;
+    let database = envy::prefixed("DATABASE_")
+        .from_env::<DatabaseConfig>()
+        .map_err(|e| ConfigError::Section {
+            section: "DATABASE",
+            source: e,
+        })?;
+    let keycloak = envy::prefixed("KEYCLOAK_")
+        .from_env::<KeycloakConfig>()
+        .map_err(|e| ConfigError::Section {
+            section: "KEYCLOAK",
+            source: e,
+        })?;
+
+    Ok(Config {
+        server,
+        database,
+        keycloak,
+    })
+}
+
+#[derive(Debug, thiserror::Error)]
+pub enum ConfigError {
+    #[error("missing or invalid env vars in section {section}: {source}")]
+    Section {
+        section: &'static str,
+        #[source]
+        source: envy::Error,
+    },
+}