feat(oidc): Profilbild vom Identitätsanbieter übernehmen

Schickt der Anbieter ein `picture`, wird es bei der Anmeldung geholt,
mittig auf 256x256 zugeschnitten und oben rechts angezeigt. Fehlt es
oder scheitert das Holen, bleibt es beim Buchstabenkreis - die
Anmeldung selbst hängt nicht davon ab.

Die Bildadresse kommt aus einem Token, also von außen. Erlaubt ist
deshalb ausschließlich der Ursprung aus OIDC_ISSUER, Weiterleitungen
eingeschlossen; dazu 4 MB und 5 Sekunden als Deckel. Ohne das wäre es
eine Aufforderung an den Server, für einen Fremden beliebige Adressen
im internen Netz anzufragen.

Neu: Migration 000019 (avatar_key/-source/-updated_at), Paket
internal/avatar, Route GET /api/v1/users/{id}/avatar. Der GC durchsucht
"avatars/" mit und kennt die Schlüssel - sonst räumte er die Bilder
nach einem Tag weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

CLAUDE.md

@@ -18,6 +18,7 @@ aether/
 │   │   ├── sharing/      # Öffentliche Share-Links
 │   │   ├── admin/        # Admin-Panel: User, Gruppen(-mitgliedschaft), Settings/Theming
 │   │   ├── oidc/         # OIDC-Login (optional, via .env)
+│   │   ├── avatar/       # Profilbild: zuschneiden, ablegen, ausliefern
 │   │   ├── webdav/       # WebDAV-Endpoint /dav/ (Basic Auth – nur App-Passwörter)
 │   │   ├── acl/          # Interne Freigaben an User/Gruppen (Rechteauflösung)
 │   │   ├── audit/        # Audit-Log (Schreibpfad; Endpunkte liegen in admin/)
@@ -127,7 +128,7 @@ Admin setzt globale Tokens; User-Override nur für eigene Palette (Scope: `[data
 - **Jede Migration in BEIDE Verzeichnisse legen:** `backend/pkg/db/migrations/` (wird ins Binary embedded und beim Start ausgeführt) UND `backend/db/migrations/` (Spiegelkopie). Beide müssen identisch sein.
 - Keine destruktiven Änderungen ohne explizites Down-Migration
 - Migration beim App-Start automatisch ausführen (via `migrate.Up()`)
-- Aktueller Stand: bis `000018_tag_icons` (Emoji an Etiketten und Absendern)
+- Aktueller Stand: bis `000019_user_avatar` (Profilbild eines Kontos)
 
 ## Commit-Regeln