feat(laeufe): Uebergabeprotokoll als PDF (#041)

Neben "Drucken" steht am Lauf "Als PDF", im Archiv an jedem Treffer "Protokoll
als PDF" — dasselbe Blatt als fertige Datei, zum Verschicken oder Abheften.
Unten darauf jetzt zwei Unterschriftsfelder mit Zeile fuer Ort, Datum und Namen;
wo eine Vier-Augen-Freigabe erteilt wurde, steht sie mit im Kopf.

Erzeugt wird es, indem der Server seine eigene Druckansicht ueber 127.0.0.1
laedt und druckt — mit dem Sitzungscookie des Anfragenden. Damit gibt es genau
eine Vorlage fuer Papier und Datei, und fuer das PDF gilt dieselbe Rechte- und
Mandantenpruefung wie fuer die Seite. Ein zweites Layout waere billiger und
wuerde frueher oder spaeter abweichen, ohne dass es jemandem auffaellt.

Ein eigener Browser-Kontext je PDF, kein geteilter: er traegt die fremde
Sitzung, und ein geteilter gaebe sie an das naechste PDF weiter. Gespeichert
wird nichts — ein abgelegtes PDF waere eine zweite Wahrheit neben dem Lauf.
Ein erzeugtes Passwort steht auch hier nie darauf, geprueft am extrahierten
Text des fertigen PDF und nicht an den Bytes: der Inhalt ist komprimiert, dort
nichts zu finden bewiese nichts.

Chromium bleibt optional, und die gemessene Zahl ist der Grund: das
Laufzeitbild waechst von 370 MB auf 1,52 GB, Alpines chromium kostet allein
1,13 GB. Er kommt nur mit `--build-arg MIT_PDF=1` beziehungsweise
`deploy/install.sh --mit-pdf` mit. Fehlt er, erscheint der Knopf gar nicht
erst — ein Knopf, der zuverlaessig in eine Fehlermeldung fuehrt, ist schlimmer
als keiner. Ein direkter Aufruf bekommt 503 mit einer Meldung, die sagt, was
fehlt und wo es steht; ein leeres PDF gibt es in keinem Fall.

Meine Schaetzung lag um das Dreieinhalbfache daneben: "+328 MB" war das
.apk-Paket, nicht das Bild, und stand schon im Dockerfile-Kommentar, bevor ich
gebaut hatte. Jetzt steht die gemessene Zahl an drei Stellen.

1545 Vitest-Tests (vorher 1526): 15 in tests/pdf.test.ts, die den Handler echt
fahren, 3 in tests/pdf-grenze.test.ts fuer die Obergrenze mit gestelltem
Browser, einer in tests/archiv.test.ts. Dazu drei E2E-Ablaeufe; volle Suite
gruen mit 118 bestanden. Ein Blatt wurde wirklich erzeugt und angesehen.

Sechs Gegenproben, alle angeschlagen — darunter ein echtes Passwort auf dem
Blatt und die Freigabe des Zaehlers aus dem finally genommen, der Fall, in dem
ein Fehlschlag die PDF-Erzeugung bis zum Neustart leise stilllegt.

Closes #41

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -9,6 +9,23 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 
 ### Hinzugefügt
 
+- **Das Übergabeprotokoll als PDF.** Neben *Drucken* steht am Lauf **Als PDF**, im Archiv an jedem
+  Treffer **Protokoll als PDF** — dasselbe Blatt als fertige Datei, zum Verschicken oder Abheften.
+  Unten darauf jetzt zwei Unterschriftsfelder (*Übergeben von* / *Übernommen von*) mit Zeile für
+  Ort, Datum und Namen; wo eine Vier-Augen-Freigabe erteilt wurde, steht sie mit im Kopf.
+  Erzeugt wird es, indem der Server seine **eigene** Druckansicht lädt und druckt: es gibt genau
+  eine Vorlage für Papier und Datei, und für das PDF gilt dieselbe Rechte- und Mandantenprüfung wie
+  für die Seite. Gespeichert wird nichts — ein abgelegtes PDF wäre eine zweite Wahrheit neben dem
+  Lauf. **Ein erzeugtes Passwort steht auch hier nie darauf**, geprüft am extrahierten Text des
+  fertigen PDF (#041)
+- **Chromium im Bild ist dafür nötig — und bleibt optional.** Das Laufzeitbild wächst von
+  **370 MB auf 1,52 GB**; Alpines `chromium` kostet allein 1,13 GB, mehr als das Dreifache der
+  Anwendung. Deshalb kommt er nur mit `docker build --build-arg MIT_PDF=1` beziehungsweise
+  `deploy/install.sh --mit-pdf` mit. **Fehlt er, erscheint der Knopf gar nicht erst**, und ein
+  direkter Aufruf antwortet `503` mit einer Meldung, die sagt, was fehlt und wo es steht — kein
+  leeres PDF. Die Druckansicht bleibt in jedem Fall der Weg. Einstellbar sind `CHROMIUM_PFAD`,
+  `PDF_MAX_GLEICHZEITIG` (2) und `PDF_LEERLAUF_MS` (60 s); alles in
+  [`docs/betrieb/pdf.md`](docs/betrieb/pdf.md) (#041)
 - **Vier-Augen-Freigabe.** Verlangt eine Vorlagen-Version sie, lässt sich ein Lauf erst abschließen,
   wenn ein **Zweiter** ihn freigegeben hat — jemand mit dem neuen Recht `freigeben` (`ADMIN` und
   `REDAKTEUR`, **nicht** `TECHNIKER`), der nicht an dem Lauf gearbeitet hat. Als gearbeitet zählt: