feat(oidc): Profilbild vom Identitätsanbieter übernehmen

Schickt der Anbieter ein `picture`, wird es bei der Anmeldung geholt,
mittig auf 256x256 zugeschnitten und oben rechts angezeigt. Fehlt es
oder scheitert das Holen, bleibt es beim Buchstabenkreis - die
Anmeldung selbst hängt nicht davon ab.

Die Bildadresse kommt aus einem Token, also von außen. Erlaubt ist
deshalb ausschließlich der Ursprung aus OIDC_ISSUER, Weiterleitungen
eingeschlossen; dazu 4 MB und 5 Sekunden als Deckel. Ohne das wäre es
eine Aufforderung an den Server, für einen Fremden beliebige Adressen
im internen Netz anzufragen.

Neu: Migration 000019 (avatar_key/-source/-updated_at), Paket
internal/avatar, Route GET /api/v1/users/{id}/avatar. Der GC durchsucht
"avatars/" mit und kennt die Schlüssel - sonst räumte er die Bilder
nach einem Tag weg.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/pkg/db/migrations/000019_user_avatar.down.sql

@@ -0,0 +1,4 @@
+ALTER TABLE users
+    DROP COLUMN IF EXISTS avatar_key,
+    DROP COLUMN IF EXISTS avatar_source,
+    DROP COLUMN IF EXISTS avatar_updated_at;

backend/pkg/db/migrations/000019_user_avatar.up.sql

@@ -0,0 +1,12 @@
+-- Profilbild eines Kontos.
+--
+-- avatar_key      Schlüssel im Blob-Speicher (avatars/<user>/<zufall>.png).
+--                 Der Zufallsanteil ist der Cache-Brecher: Ein Bild unter
+--                 gleichem Namen bliebe im Browser hängen.
+-- avatar_source   Woher es stammt (die picture-Adresse des Anbieters). Wird
+--                 verglichen, um bei jeder Anmeldung nicht neu zu laden.
+-- avatar_updated_at  Zugleich Zeitstempel und Version in der Bild-Adresse.
+ALTER TABLE users
+    ADD COLUMN avatar_key        TEXT,
+    ADD COLUMN avatar_source     TEXT,
+    ADD COLUMN avatar_updated_at TIMESTAMPTZ;