Release 2.2.0 — veiliger uitloggen, invoerlimiet en controleerbare bronnen

Samenvatting van de wijzigingen in 2.2.0 (sinds 2.0.1; ~120 commits). Release 2.1.0 is niet op GitHub gepubliceerd: de wijzigingen daarvan zitten hierin.

• Uitloggen en sessies: bij uitloggen wordt het token ook op de server ingetrokken, en de sessieduur is begrensd (SESSION_TTL_HOURS, SESSION_MAX_HOURS). De sessie eindigt als de server het token weigert. Het dashboardgesprek wordt gewist bij in- en uitloggen en niet meer bewaard nadat de sessie is beëindigd.
• Invoerlimiet: berichten boven MAX_MESSAGE_CHARS worden geweigerd; het invoerveld volgt de limiet van de server (via /api/config) en toont een teller.
• Bronnen en getallen: de bronnen van een data-antwoord worden afgeleid uit de stappen van de beurt, met vaste bouwstenen onder het antwoord en de data_key achter 'Technische details'. Getallen staan in Nederlandse notatie, elk getal krijgt zijn eigen citatie (ook UWV en ROA), en er zijn minder valse intrekkingen door de controle.
• Heropende gesprekken: ontbrekende data wordt na een herstart opnieuw opgehaald uit een opgeslagen recept per data_key en gemarkeerd als opnieuw opgehaald; het rapport is ook bij een heropend gesprek beschikbaar.
• Catalogus en tools: zoeken geeft no_match als gebruikerstermen ontbreken, instellingsnamen en aliassen worden teruggegeven, één leidend DUO-bestand voor een totaal per instelling, en de CBS-woonregiotabellen zijn toegelaten met een mbo/hbo/wo-selectie.
• Arbeidsmarkt: UWV-sectortotalen scheiden brontellingen van onze indeling, gedeelde clusters worden pro rata geteld en de vraag-aanbodgrafiek gebruikt het gewogen aantal.
• Veiligheid: spreadsheetformules worden onschadelijk gemaakt in de csv-exports, figuur-JSON wordt ontsnapt in het rapport, en op INFO en hoger staat geen vraag- of antwoordtekst meer in het log.
• Gebruik: elke pagina heeft een eigen tabtitel, tikdoelen zijn minimaal 24×24 px (44×44 px op touchschermen), 'Gekopieerd' wordt getoond en aangekondigd, en feedback op een antwoord wordt bevestigd.
• Beheer: /version toont nu de release (de chartversie) in plaats van een vaste waarde, en noemt de dataversie van UWV en ROA. /ready geeft 503 als een controle faalt, en onbekende /api-paden geven een JSON-404.