feat(oidc): Profilbild vom Identitätsanbieter übernehmen

Schickt der Anbieter ein `picture`, wird es bei der Anmeldung geholt,
mittig auf 256x256 zugeschnitten und oben rechts angezeigt. Fehlt es
oder scheitert das Holen, bleibt es beim Buchstabenkreis - die
Anmeldung selbst hängt nicht davon ab.

Die Bildadresse kommt aus einem Token, also von außen. Erlaubt ist
deshalb ausschließlich der Ursprung aus OIDC_ISSUER, Weiterleitungen
eingeschlossen; dazu 4 MB und 5 Sekunden als Deckel. Ohne das wäre es
eine Aufforderung an den Server, für einen Fremden beliebige Adressen
im internen Netz anzufragen.

Neu: Migration 000019 (avatar_key/-source/-updated_at), Paket
internal/avatar, Route GET /api/v1/users/{id}/avatar. Der GC durchsucht
"avatars/" mit und kennt die Schlüssel - sonst räumte er die Bilder
nach einem Tag weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/internal/auth/model.go

@@ -27,7 +27,16 @@ type User struct {
 	// Nicht sicherheitsrelevant, sondern eine Auskunft: Anmeldung und
 	// Passwortänderung scheitern für solche Konten ohnehin schon daran, dass
 	// '' kein gültiger Argon2-Hash ist.
-	IsOIDC    bool      `json:"is_oidc"`
+	IsOIDC bool `json:"is_oidc"`
+	// AvatarVer ist der Zeitstempel des Profilbildes in Sekunden – 0 heißt:
+	// keins vorhanden. Die Oberfläche baut daraus die Adresse
+	// /api/v1/users/<id>/avatar?v=<AvatarVer>.
+	//
+	// Warum eine Zahl statt einer fertigen Adresse: Das Bild darf im Browser
+	// lange liegen bleiben, muss aber sofort wechseln, wenn jemand es
+	// austauscht. Der Zeitstempel leistet beides und kostet keine Spalte
+	// extra.
+	AvatarVer int64     `json:"avatar_ver"`
 	CreatedAt time.Time `json:"created_at"`
 }