feat(oidc): Profilbild vom Identitätsanbieter übernehmen

Schickt der Anbieter ein `picture`, wird es bei der Anmeldung geholt,
mittig auf 256x256 zugeschnitten und oben rechts angezeigt. Fehlt es
oder scheitert das Holen, bleibt es beim Buchstabenkreis - die
Anmeldung selbst hängt nicht davon ab.

Die Bildadresse kommt aus einem Token, also von außen. Erlaubt ist
deshalb ausschließlich der Ursprung aus OIDC_ISSUER, Weiterleitungen
eingeschlossen; dazu 4 MB und 5 Sekunden als Deckel. Ohne das wäre es
eine Aufforderung an den Server, für einen Fremden beliebige Adressen
im internen Netz anzufragen.

Neu: Migration 000019 (avatar_key/-source/-updated_at), Paket
internal/avatar, Route GET /api/v1/users/{id}/avatar. Der GC durchsucht
"avatars/" mit und kennt die Schlüssel - sonst räumte er die Bilder
nach einem Tag weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/cmd/aether/main.go

@@ -25,6 +25,7 @@ import (
 	"aether/internal/admin"
 	"aether/internal/audit"
 	"aether/internal/auth"
+	"aether/internal/avatar"
 	"aether/internal/documents"
 	"aether/internal/files"
 	"aether/internal/gc"
@@ -240,6 +241,8 @@ func main() {
 		}
 	}
 
+	avatarHandler := avatar.NewHandler(authStore, blobStore)
+
 	// WebDAV
 	davHandler := appwebdav.NewHandler(authStore, fileStore, aclStore, blobStore)
 
@@ -251,7 +254,7 @@ func main() {
 		RedirectURL:  cfg.OIDCRedirectURL,
 
 		LinkByUsername: cfg.OIDCLinkByUsername,
-	}, authStore, sessions)
+	}, authStore, sessions, blobStore)
 	if err != nil {
 		log.Fatal().Err(err).Msg("OIDC init failed")
 	}
@@ -487,6 +490,10 @@ func main() {
 		r.Delete("/acl/{id}", aclHandler.RevokeACL)
 
 		// App passwords (WebDAV/sync clients)
+		// Profilbild eines Kontos. Sichtbar für jedes angemeldete Konto –
+		// es steht ohnehin an Freigaben und in Nutzerlisten.
+		r.Get("/users/{id}/avatar", avatarHandler.Serve)
+
 		r.Get("/app-passwords", authHandler.ListAppPasswords)
 		r.Post("/app-passwords", authHandler.CreateAppPassword)
 		r.Delete("/app-passwords/{id}", authHandler.DeleteAppPassword)