Skills-View: Text-Endpoint matcht jetzt Kategorie-Skills ({skill_id:path})

Kategorie-Skills (z. B. autonomous-ai-agents/hermes-agent) haben einen
Schraegstrich in der ID. Die Route /api/eigenleben/skill/{skill_id} nahm nur
EIN Pfadsegment -> Request fiel in den SPA-Fallback (index.html, Status 200),
die UI zeigte "(Konnte den Skill-Text nicht laden.)". Live bewiesen:
skill/wartung = JSON, skill/autonomous-ai-agents%2Fhermes-agent = HTML.

Fix: :path-Konverter in der Route; dazu im Service "."/".."-Segmente
explizit abweisen (das Zeichen-Set der bestehenden Validierung liesse
".." als Segment durch, bisher irrelevant, mit :path sauber dicht).
Backend-only, kein dist-Rebuild noetig.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

backend/services/eigenleben.py

@@ -157,6 +157,10 @@ def skill_text(skill_id: str) -> str | None:
     """Voller SKILL.md-Text („wie funktioniert der Skill") — max. Kategorie/Name, keine Pfad-Tricks."""
     if not re.fullmatch(r"[\w.-]+(/[\w.-]+)?", skill_id or ""):
         return None
+    # Das Zeichen-Set oben erlaubt „." und „.." als Segment — seit die Route ein
+    # :path-Parameter ist, hier explizit raus (kein Klettern über SKILLS_DIR hinaus).
+    if any(seg in (".", "..") for seg in skill_id.split("/")):
+        return None
     md = SKILLS_DIR / skill_id / "SKILL.md"
     if not md.is_file():
         return None