feat(profil): eigenes Profilbild hochladen

Jeder setzt sein Bild unter "Mein Konto", Vorgesetzte und Administratoren
auch fuer die Benutzer, die sie verwalten. Wo bisher die Initialen standen,
steht jetzt das Bild - Seitenleiste, Kopfzeile, Team, Dashboard, Reports,
Projekte, Kunden und die Buchungsliste. Ohne Bild bleiben die Initialen.

Der Browser verkleinert das Bild vor dem Hochladen auf ein Quadrat von
256 px und schneidet mittig zu (lib/imageCompress.ts): aus einem 4-MB-Foto
werden wenige Kilobyte, und der Server muss kein Bild verarbeiten.

Gespeichert wird es als Data-URL in pulse_users.avatar (LONGTEXT). Kein
Upload-Verzeichnis, das gesichert und beim Deployment am Leben gehalten
werden muesste.

Geprueft wird serverseitig in lib/avatar.js: nur PNG, JPEG, GIF, WebP und
AVIF als Data-URL, hoechstens 2 MB. SVG ist bewusst nicht erlaubt, es kann
Skripte tragen. Externe http(s)-Adressen ebenso wenig - sonst laedt jeder
Seitenaufruf ein Bild von einem fremden Server und verraet, wer wann mit
Pulse arbeitet.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

server/src/routes/auth.js

@@ -5,6 +5,7 @@ import { pool } from '../db.js';
 import { publicUser, requireAuth, signShort, signToken, verifyShort } from '../middleware/auth.js';
 import { getSettings } from '../lib/settings.js';
 import { authorizeUrl, exchangeCode, ssoConfigured } from '../lib/sso.js';
+import { normalizeAvatar } from '../lib/avatar.js';
 
 const router = express.Router();
 
@@ -70,7 +71,7 @@ router.post('/login', async (req, res, next) => {
 
 router.get('/me', requireAuth, (req, res) => res.json({ user: publicUser(req.user) }));
 
-// Eigene Darstellung: Design, Modus, Farbe.
+// Eigene Darstellung: Design, Modus, Farbe, Profilbild.
 router.patch('/me', requireAuth, async (req, res, next) => {
   const updates = {};
   if (req.body?.theme !== undefined) {
@@ -90,6 +91,11 @@ router.patch('/me', requireAuth, async (req, res, next) => {
     if (color !== null && !/^#[0-9a-f]{6}$/i.test(color)) return res.status(400).json({ error: 'Ungültige Farbe.' });
     updates.color = color;
   }
+  if (req.body?.avatar !== undefined) {
+    const avatar = normalizeAvatar(req.body.avatar);
+    if (avatar.error) return res.status(400).json({ error: avatar.error });
+    updates.avatar = avatar.value;
+  }
   const keys = Object.keys(updates);
   if (keys.length === 0) return res.status(400).json({ error: 'Keine Änderungen übergeben.' });
   try {