feat(oidc): Profilbild vom Identitätsanbieter übernehmen

Schickt der Anbieter ein `picture`, wird es bei der Anmeldung geholt,
mittig auf 256x256 zugeschnitten und oben rechts angezeigt. Fehlt es
oder scheitert das Holen, bleibt es beim Buchstabenkreis - die
Anmeldung selbst hängt nicht davon ab.

Die Bildadresse kommt aus einem Token, also von außen. Erlaubt ist
deshalb ausschließlich der Ursprung aus OIDC_ISSUER, Weiterleitungen
eingeschlossen; dazu 4 MB und 5 Sekunden als Deckel. Ohne das wäre es
eine Aufforderung an den Server, für einen Fremden beliebige Adressen
im internen Netz anzufragen.

Neu: Migration 000019 (avatar_key/-source/-updated_at), Paket
internal/avatar, Route GET /api/v1/users/{id}/avatar. Der GC durchsucht
"avatars/" mit und kennt die Schlüssel - sonst räumte er die Bilder
nach einem Tag weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/internal/gc/gc.go

@@ -72,7 +72,7 @@ func (c *Collector) Run(ctx context.Context) (Result, error) {
 
 	// "tmp/" bleibt außen vor: Das gehört dem Upload-Pfad und wird dort
 	// aufgeräumt; ein GC, der dort mitmischt, zerrisse laufende Uploads.
-	for _, prefix := range []string{"users", "thumbs", "branding"} {
+	for _, prefix := range []string{"users", "thumbs", "branding", "avatars"} {
 		err := c.storage.Walk(ctx, prefix, func(key string, info storage.FileInfo) error {
 			res.Scanned++
 			if referenced[key] {
@@ -194,6 +194,26 @@ func (c *Collector) referencedKeys(ctx context.Context) (map[string]bool, error)
 		}
 	}
 
+	// Profilbilder stehen in der Nutzerzeile, nicht in files. Ohne diese
+	// Abfrage hielte der GC sie für verwaist, sobald "avatars" mitläuft.
+	arows, err := c.db.Query(ctx,
+		`SELECT avatar_key FROM users WHERE avatar_key IS NOT NULL AND avatar_key <> ''`)
+	if err != nil {
+		return nil, fmt.Errorf("query avatar keys: %w", err)
+	}
+	for arows.Next() {
+		var key string
+		if err := arows.Scan(&key); err != nil {
+			arows.Close()
+			return nil, fmt.Errorf("scan avatar key: %w", err)
+		}
+		keys[strings.TrimPrefix(key, "/")] = true
+	}
+	arows.Close()
+	if err := arows.Err(); err != nil {
+		return nil, fmt.Errorf("iterate avatar keys: %w", err)
+	}
+
 	vrows, err := c.db.Query(ctx, `SELECT storage_key FROM file_versions`)
 	if err != nil {
 		return nil, fmt.Errorf("query version keys: %w", err)