- OAuth2Token::getAdditional()/getIdToken(): Felder der Token-Antwort, die
  RFC 6749 nicht benennt (z. B. id_token bei OpenID Connect), gingen bisher
  verloren. toArray() bleibt ohne Zusatzfelder unveraendert.
- WebDav\Propfind::body() baut PROPFIND-Bodies mit geprueften
  Eigenschaftsnamen; WebDav\MultiStatus::parse() liefert je d:response
  href, Status, Collection-Kennung und die Werte erfolgreicher propstat-
  Bloecke (404-propstat ueberdeckt keine echten Werte), XXE-sicher.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>