Implement CSRF protection for user invitation and management actions; add QR code generation script; secure internal includes directory with .htaccess

includes/totp.php

@@ -107,14 +107,12 @@ class TOTP {
     }
 
     /**
-     * Genereert een QR code afbeelding URL (via QuickChart HTTPS)
+     * Genereert een veilige client-side QR code (geen externe API calls meer ter bescherming van TOTP secrets)
      */
     public static function getQrCodeUrl(string $otpAuthUrl, int $size = 220): string {
-        return sprintf(
-            'https://quickchart.io/qr?text=%s&size=%d&margin=1&ecLevel=M',
-            urlencode($otpAuthUrl),
-            $size
-        );
+        // Externe API (quickchart.io) verwijderd om te voorkomen dat 2FA secrets uitlekken naar derden.
+        // QR rendering gebeurt nu 100% lokaal via /assets/js/qrcode.min.js in de browser.
+        return '';
     }
 
     /**