fix: Schrift mitliefern statt beim Bauen herunterladen

next/font/google laedt Outfit beim Bauen von Google — das macht den Build von
einer Netzverbindung abhaengig und liess ihn im Container haengen. Die
variable Fassung liegt jetzt als Datei im Repository; weder beim Bauen noch
zur Laufzeit geht eine Anfrage nach aussen.

Ausserdem: npm blockiert seit Version 11 Install-Skripte. Fuer prisma und
@prisma/engines sind sie jetzt gezielt erlaubt, damit im Image die
plattformpassende Engine bereitliegt.

Dockerfile

@@ -16,7 +16,10 @@ ENV NEXT_TELEMETRY_DISABLED=1
 FROM base AS deps
 WORKDIR /app
 COPY package.json package-lock.json ./
-RUN npm ci --no-audit --no-fund
+# npm blockt Install-Skripte seit Version 11 standardmäßig. Prisma braucht seine
+# eigenen, um die passende Engine für die Plattform bereitzulegen — deshalb hier
+# gezielt erlaubt statt pauschal.
+RUN npm ci --no-audit --no-fund --allow-scripts "prisma,@prisma/engines"
 
 # --- Build -------------------------------------------------------------------
 FROM base AS builder
@@ -38,7 +41,7 @@ RUN npx prisma generate && npx next build
 # schief: @prisma/config braucht weitere Module, die dabei fehlten.
 FROM base AS prisma-cli
 WORKDIR /cli
-RUN npm init -y > /dev/null  && npm install --omit=dev --no-audit --no-fund prisma@7.10.0
+RUN npm init -y > /dev/null  && npm install --omit=dev --no-audit --no-fund       --allow-scripts "prisma,@prisma/engines"       prisma@7.10.0
 
 # --- Laufzeit ----------------------------------------------------------------
 FROM base AS runner