Worktree-Verlust-Audit: alle Geister-Endpoints gefunden + Regressions-Test

Systematischer Abgleich aller 528 Frontend-API-Aufrufe gegen 576 Backend-
Routen (methodengenau, Wildcard-Matching für Parameter):

Echte Opfer (zusätzlich zu partner/* und breeder/my-editor):
- worlds.js Nearby-Alerts riefen /poison/nearby + /lost/nearby auf — beide
  existierten NIE; doppeltes catch verschluckte die 404s → die Welten zeigten
  seit jeher keine Giftköder-/Vermisst-Warnungen. Fix: bestehende Listen-
  Endpoints mit Geo-Filter nutzen (/poison?radius=Meter, /lost?radius_km).
- API.weather.alerts → /weather/alerts existierte nie, hatte aber auch keinen
  Aufrufer — toter Wrapper entfernt.

False Positives geprüft: invoices (Router bringt eigenen Prefix mit, alle 9
Routen ok), Seiten↔Dateien↔window.Page_*↔index.html-Sections alle konsistent.

Neu: tests/test_api_surface.py — statischer API-Oberflächen-Abgleich als
Dauertest; Geister-Aufrufe sind ab jetzt Build-Fehler. Suite: 59 passed.

backend/static/js/api.js

@@ -492,7 +492,7 @@ const API = (() => {
   // WETTER
   // ----------------------------------------------------------
   const weather = {
-    alerts(lat, lon)   { return get(`/weather/alerts?lat=${lat}&lon=${lon}`); },
+    // alerts() entfernt — /weather/alerts existierte im Backend nie (459cd42), kein Aufrufer
     get(lat, lon)      { return get(`/weather?lat=${lat}&lon=${lon}`); },
     forecast(lat, lon) { return get(`/weather/forecast?lat=${lat}&lon=${lon}`); },
   };