feat(laeufe): Uebergabeprotokoll als PDF (#041)

Neben "Drucken" steht am Lauf "Als PDF", im Archiv an jedem Treffer "Protokoll
als PDF" — dasselbe Blatt als fertige Datei, zum Verschicken oder Abheften.
Unten darauf jetzt zwei Unterschriftsfelder mit Zeile fuer Ort, Datum und Namen;
wo eine Vier-Augen-Freigabe erteilt wurde, steht sie mit im Kopf.

Erzeugt wird es, indem der Server seine eigene Druckansicht ueber 127.0.0.1
laedt und druckt — mit dem Sitzungscookie des Anfragenden. Damit gibt es genau
eine Vorlage fuer Papier und Datei, und fuer das PDF gilt dieselbe Rechte- und
Mandantenpruefung wie fuer die Seite. Ein zweites Layout waere billiger und
wuerde frueher oder spaeter abweichen, ohne dass es jemandem auffaellt.

Ein eigener Browser-Kontext je PDF, kein geteilter: er traegt die fremde
Sitzung, und ein geteilter gaebe sie an das naechste PDF weiter. Gespeichert
wird nichts — ein abgelegtes PDF waere eine zweite Wahrheit neben dem Lauf.
Ein erzeugtes Passwort steht auch hier nie darauf, geprueft am extrahierten
Text des fertigen PDF und nicht an den Bytes: der Inhalt ist komprimiert, dort
nichts zu finden bewiese nichts.

Chromium bleibt optional, und die gemessene Zahl ist der Grund: das
Laufzeitbild waechst von 370 MB auf 1,52 GB, Alpines chromium kostet allein
1,13 GB. Er kommt nur mit `--build-arg MIT_PDF=1` beziehungsweise
`deploy/install.sh --mit-pdf` mit. Fehlt er, erscheint der Knopf gar nicht
erst — ein Knopf, der zuverlaessig in eine Fehlermeldung fuehrt, ist schlimmer
als keiner. Ein direkter Aufruf bekommt 503 mit einer Meldung, die sagt, was
fehlt und wo es steht; ein leeres PDF gibt es in keinem Fall.

Meine Schaetzung lag um das Dreieinhalbfache daneben: "+328 MB" war das
.apk-Paket, nicht das Bild, und stand schon im Dockerfile-Kommentar, bevor ich
gebaut hatte. Jetzt steht die gemessene Zahl an drei Stellen.

1545 Vitest-Tests (vorher 1526): 15 in tests/pdf.test.ts, die den Handler echt
fahren, 3 in tests/pdf-grenze.test.ts fuer die Obergrenze mit gestelltem
Browser, einer in tests/archiv.test.ts. Dazu drei E2E-Ablaeufe; volle Suite
gruen mit 118 bestanden. Ein Blatt wurde wirklich erzeugt und angesehen.

Sechs Gegenproben, alle angeschlagen — darunter ein echtes Passwort auf dem
Blatt und die Freigabe des Zaehlers aus dem finally genommen, der Fall, in dem
ein Fehlschlag die PDF-Erzeugung bis zum Neustart leise stilllegt.

Closes #41

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

deploy/install.sh

@@ -54,6 +54,8 @@ bindAdresse="${BIND_ADDR:-127.0.0.1}"
 seedModus="${SEED_MODE:-INTERN}"
 passwortDatei="${LAUFZETTEL_PASSWORT_DATEI:-}"
 testmodus=0
+# PDF-Uebergabeprotokoll: Chromium kostet ueber 1 GB, also nur auf Verlangen (#041).
+mitPdf="${LAUFZETTEL_MIT_PDF:-0}"
 # Nur die Werte, die in die Umgebungsdatei wandern - Quelle und Zweig gelten
 # auch beim Aktualisieren und loesen deshalb keinen Hinweis aus.
 optionenGesetzt=0
@@ -136,6 +138,12 @@ Schalter:
                         die es nicht von der Ausgabe ablesen koennen. Wer sie
                         benutzt, loescht sie nach dem Ablesen: sonst liegt das
                         Passwort dauerhaft im Klartext im System.
+  --mit-pdf             Chromium mitinstallieren, damit das Uebergabeprotokoll
+                        als PDF entsteht. Kostet rund 1,1 GB Plattenplatz und
+                        ist deshalb nicht Standard — ohne ihn bleibt die
+                        Druckansicht der Weg, und der Knopf erscheint gar nicht
+                        erst. Wirkt auch bei einem zweiten Lauf, weil es ein
+                        Paket ist und keine Einstellung. docs/betrieb/pdf.md
   --test                Nach der Installation eine Selbstpruefung fahren: kein
                         TCP-Port 5432, Migration und Seed gelaufen, Antwort auf
                         /api/gesundheit. Ohne systemd (Container) wird der Dienst
@@ -152,7 +160,8 @@ Umgebung:
 
   APP_URL, BIND_ADDR, APP_PORT, SEED_ADMIN_EMAIL, SEED_MODE,
   LAUFZETTEL_REPO (wie --quelle), LAUFZETTEL_ZWEIG (wie --zweig),
-  LAUFZETTEL_PASSWORT_DATEI (wie --passwort-datei)
+  LAUFZETTEL_PASSWORT_DATEI (wie --passwort-datei),
+  LAUFZETTEL_MIT_PDF=1 (wie --mit-pdf)
 
 Das Administrator-Passwort steht nicht in /etc/laufzettel/laufzettel.env. Es
 wird beim ersten Lauf einmal angezeigt und liegt sonst nur als argon2-Hash in
@@ -305,6 +314,15 @@ paketeInstallieren() {
     if ! dpkgInstalliert "$paket"; then fehlend+=("$paket"); fi
   done
 
+  # Chromium und eine Rueckfallschrift nur auf Verlangen: zusammen rund 1,1 GB.
+  # Ohne die Schriften entsteht ein PDF mit leeren Kaesten statt Buchstaben --
+  # ein gueltiges PDF, das falsch ist, und das ist schlimmer als keines.
+  if [ "$mitPdf" = "1" ]; then
+    for paket in chromium fonts-noto-core; do
+      if ! dpkgInstalliert "$paket"; then fehlend+=("$paket"); fi
+    done
+  fi
+
   if [ "${#fehlend[@]}" -gt 0 ]; then
     aptAktualisieren
     apt-get install -y --no-install-recommends "${fehlend[@]}" >/dev/null
@@ -312,6 +330,12 @@ paketeInstallieren() {
   else
     melde "alles vorhanden"
   fi
+
+  if [ "$mitPdf" = "1" ]; then
+    melde "PDF-Uebergabeprotokoll: $(command -v chromium || echo 'Chromium NICHT gefunden')"
+  else
+    hinweis "Ohne --mit-pdf entsteht kein PDF-Uebergabeprotokoll; die Druckansicht bleibt der Weg."
+  fi
 }
 
 # ---------- Schritt 3: Dienstnutzer und Verzeichnisse -----------------------
@@ -1022,6 +1046,10 @@ schalterLesen() {
         passwortDatei="${2:?--passwort-datei braucht einen Pfad}"
         shift 2
         ;;
+      --mit-pdf)
+        mitPdf=1
+        shift
+        ;;
       --test)
         testmodus=1
         shift