fix: Lauffaehigkeit unter PHP 8.4 und 8.5 herstellen

Auf einem Hetzner-Webhosting mit PHP 8.5 brach die Anwendung beim ersten
Aufruf ab. Ausloeser war session.sid_length: seit PHP 8.4 als veraltet
gemarkt. Die Meldung wurde ausgegeben, damit waren Header raus - und
danach liess sich weder eine ini-Einstellung aendern noch eine Session
starten. Aus einer Randnotiz wurde so ein Totalausfall.

Behoben auf drei Ebenen:

1. Die veralteten Aufrufe sind weg. session.sid_length und
   session.sid_bits_per_character werden nicht mehr gesetzt; die
   Voreinstellungen liefern mit 128 Bit ohnehin genug Entropie.
   Ebenso entfallen curl_close(), imagedestroy() und finfo_close() -
   seit PHP 8.0 bzw. 8.5 wirkungslos und als veraltet gemeldet.

2. public/index.php puffert die Ausgabe von der ersten Zeile an. Viele
   Hoster erzwingen display_errors und lassen sich per ini_set() nicht
   davon abbringen. Gepuffert laesst sich Fremdausgabe vor dem Senden
   verwerfen und ins Fehlerprotokoll umleiten, statt die Antwort zu
   zerstoeren. Das schuetzt auch Binaerdownloads: eine einzelne
   Meldung haette bisher jedes PNG beschaedigt. Session::start()
   meldet ausserdem klar, wenn doch schon Ausgaben raus sind, statt
   eine Kaskade aus Warnungen zu erzeugen.

3. endroid/qr-code von 5.1 auf 6.0 angehoben. Version 5 markiert
   Parameter implizit als nullable, was PHP 8.4 bemaengelt - bei jedem
   erzeugten QR-Code. Version 6.1 waere ebenfalls verfuegbar, verlangt
   aber PHP 8.4+ und wuerde Hoster mit 8.2 oder 8.3 ausschliessen;
   6.0 laeuft ab 8.1.

Getestet wird jetzt gegen PHP 8.3, 8.4 und 8.5, jeweils mit
display_errors=On und error_reporting=E_ALL, damit Deprecations
sichtbar werden statt still im Log zu landen. Alle 232 Tests laufen auf
allen drei Versionen ohne eine einzige Meldung durch. Zusaetzlich ist
das Release-Paket in einer PHP-8.5-Umgebung mit fremdem Webroot
geprueft: Ersteinrichtung, Kurzlinks, Weiterleitung, QR-Codes und
Statistik, ohne Streuausgabe in Seiten oder Downloads.

README.md

@@ -69,7 +69,7 @@ Benutzername und Passwort.
 
 | | |
 |---|---|
-| PHP | 8.2 oder neuer |
+| PHP | 8.2 oder neuer – getestet mit **8.3, 8.4 und 8.5** |
 | Erweiterungen | `pdo` + `pdo_sqlite` (Standard) bzw. `pdo_mysql`, `gd`, `json`, `mbstring`, `fileinfo` |
 | Optional | `imagick` – nur nötig, wenn SVG-Logos auch im **PNG**-Download erscheinen sollen |
 | Optional | `intl` – für Umlaut-Domains nach UTS-46; fehlt sie, greift ein eingebauter Punycode-Fallback |
@@ -682,6 +682,12 @@ Ohne lokales PHP über Docker:
 docker run --rm -v "$PWD:/app" -w /app urlshort-qr-gen:latest vendor/bin/phpunit
 ```
 
+Die Suite läuft ohne Deprecation-Meldungen unter PHP 8.3, 8.4 und 8.5. Das ist kein
+Selbstzweck: Viele Hoster haben `display_errors` erzwungen auf `On`. Eine einzige
+Meldung würde dort verhindern, dass noch HTTP-Header gesendet werden – keine Session,
+keine Weiterleitung – und jeden PNG-Download beschädigen. Zusätzlich puffert
+`public/index.php` die Ausgabe und verwirft Fremdausgaben, bevor die Antwort rausgeht.
+
 Abgedeckt sind die Kernlogik und die Weiterleitung:
 
 - `SlugTest` – Zufallserzeugung, Kollisionsbehandlung, Normalisierung, Validierung