fix: Lauffaehigkeit unter PHP 8.4 und 8.5 herstellen

Auf einem Hetzner-Webhosting mit PHP 8.5 brach die Anwendung beim ersten
Aufruf ab. Ausloeser war session.sid_length: seit PHP 8.4 als veraltet
gemarkt. Die Meldung wurde ausgegeben, damit waren Header raus - und
danach liess sich weder eine ini-Einstellung aendern noch eine Session
starten. Aus einer Randnotiz wurde so ein Totalausfall.

Behoben auf drei Ebenen:

1. Die veralteten Aufrufe sind weg. session.sid_length und
   session.sid_bits_per_character werden nicht mehr gesetzt; die
   Voreinstellungen liefern mit 128 Bit ohnehin genug Entropie.
   Ebenso entfallen curl_close(), imagedestroy() und finfo_close() -
   seit PHP 8.0 bzw. 8.5 wirkungslos und als veraltet gemeldet.

2. public/index.php puffert die Ausgabe von der ersten Zeile an. Viele
   Hoster erzwingen display_errors und lassen sich per ini_set() nicht
   davon abbringen. Gepuffert laesst sich Fremdausgabe vor dem Senden
   verwerfen und ins Fehlerprotokoll umleiten, statt die Antwort zu
   zerstoeren. Das schuetzt auch Binaerdownloads: eine einzelne
   Meldung haette bisher jedes PNG beschaedigt. Session::start()
   meldet ausserdem klar, wenn doch schon Ausgaben raus sind, statt
   eine Kaskade aus Warnungen zu erzeugen.

3. endroid/qr-code von 5.1 auf 6.0 angehoben. Version 5 markiert
   Parameter implizit als nullable, was PHP 8.4 bemaengelt - bei jedem
   erzeugten QR-Code. Version 6.1 waere ebenfalls verfuegbar, verlangt
   aber PHP 8.4+ und wuerde Hoster mit 8.2 oder 8.3 ausschliessen;
   6.0 laeuft ab 8.1.

Getestet wird jetzt gegen PHP 8.3, 8.4 und 8.5, jeweils mit
display_errors=On und error_reporting=E_ALL, damit Deprecations
sichtbar werden statt still im Log zu landen. Alle 232 Tests laufen auf
allen drei Versionen ohne eine einzige Meldung durch. Zusaetzlich ist
das Release-Paket in einer PHP-8.5-Umgebung mit fremdem Webroot
geprueft: Ersteinrichtung, Kurzlinks, Weiterleitung, QR-Codes und
Statistik, ohne Streuausgabe in Seiten oder Downloads.

src/App.php

@@ -116,6 +116,7 @@ final class App
             }
         }
 
+        $response = $this->discardStrayOutput($response);
         $response->send();
         $this->finishRequest();
 
@@ -291,6 +292,46 @@ final class App
         return Response::html($html, 500);
     }
 
+    /**
+     * Leert die Ausgabepuffer, bevor die eigentliche Antwort rausgeht.
+     *
+     * Alles, was sich dort angesammelt hat, stammt nicht von dieser
+     * Anwendung (die Templates rendern in eigene Puffer und liefern
+     * Zeichenketten zurueck), sondern von PHP-Meldungen des Servers.
+     * Solche Streuausgabe wuerde Header verhindern und Binaerdownloads
+     * beschaedigen - sie wandert deshalb ins Fehlerprotokoll.
+     */
+    private function discardStrayOutput(Response $response): Response
+    {
+        $stray = '';
+        while (ob_get_level() > 0) {
+            $stray .= (string) ob_get_clean();
+        }
+
+        if (trim($stray) === '') {
+            return $response;
+        }
+
+        error_log('[urlshort] Unerwartete Ausgabe vor der Antwort: ' . mb_substr(trim($stray), 0, 1000));
+
+        // Im Entwicklungsmodus nicht stillschweigend verschlucken -
+        // aber nur bei HTML, sonst waere das Bild wieder kaputt.
+        $isHtml = str_starts_with($response->headers()['Content-Type'] ?? '', 'text/html');
+        if ($this->config->isDevelopment() && $isHtml) {
+            // Bewusst ueber den Konstruktor, damit Status und die eben
+            // gesetzten Security-Header erhalten bleiben.
+            return new Response(
+                '<pre style="background:#fee;border:1px solid #c00;padding:1rem;margin:0;overflow:auto">'
+                . htmlspecialchars(trim($stray), ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8')
+                . '</pre>' . $response->body(),
+                $response->status(),
+                $response->headers(),
+            );
+        }
+
+        return $response;
+    }
+
     /**
      * Antwort ausliefern und die Verbindung schliessen, damit Nacharbeiten
      * (Klick-Protokollierung) den Nutzer nicht warten lassen.

src/Qr/LogoStore.php

@@ -135,7 +135,10 @@ final class LogoStore
             );
         }
 
-        imagedestroy($image);
+        // Kein imagedestroy(): seit PHP 8.0 wirkungslos (GdImage ist ein
+        // Objekt), seit 8.5 als veraltet gemeldet. Der Speicher wird
+        // freigegeben, sobald die Variable ausser Reichweite geraet.
+        unset($image);
     }
 
     private function detectMimeType(string $path, string $originalName): string
@@ -158,7 +161,9 @@ final class LogoStore
             $finfo = finfo_open(FILEINFO_MIME_TYPE);
             if ($finfo !== false) {
                 $mime = finfo_file($finfo, $path);
-                finfo_close($finfo);
+                // Kein finfo_close(): finfo-Objekte raeumt PHP selbst auf,
+                // seit 8.5 ist der Aufruf als veraltet gemeldet.
+                unset($finfo);
                 if (is_string($mime)) {
                     return $mime;
                 }

src/Security/Session.php

@@ -5,6 +5,7 @@ declare(strict_types=1);
 namespace App\Security;
 
 use App\Config;
+use RuntimeException;
 
 /**
  * Sichere Session-Konfiguration.
@@ -47,8 +48,24 @@ final class Session
         ini_set('session.use_only_cookies', '1');
         ini_set('session.cookie_httponly', '1');
         ini_set('session.gc_maxlifetime', (string) $lifetime);
-        ini_set('session.sid_length', '48');
-        ini_set('session.sid_bits_per_character', '5');
+
+        // session.sid_length und session.sid_bits_per_character werden
+        // hier bewusst NICHT gesetzt: PHP 8.4 hat beide als veraltet
+        // markiert. Die Voreinstellungen (32 Zeichen aus 4 Bit je
+        // Zeichen = 128 Bit Entropie) sind ohnehin ausreichend.
+
+        // Sind bereits Ausgaben rausgegangen - etwa eine Meldung des
+        // Hosters -, kann keine Session mehr beginnen. Statt einer
+        // Kaskade aus Warnungen dann lieber eine klare Fehlermeldung.
+        if (headers_sent($file, $line)) {
+            throw new RuntimeException(sprintf(
+                'Die Sitzung kann nicht gestartet werden, weil bereits Ausgaben gesendet wurden (%s Zeile %d). '
+                . 'Meist steckt eine PHP-Meldung des Servers dahinter; mit APP_ENV=production werden solche '
+                . 'Meldungen unterdrueckt.',
+                $file !== '' ? $file : 'unbekannt',
+                $line,
+            ));
+        }
 
         session_start();
         $this->started = true;

src/Service/DomainChecker.php

@@ -355,7 +355,10 @@ final class DomainChecker
         $status = (int) curl_getinfo($handle, CURLINFO_RESPONSE_CODE);
         $location = (string) (curl_getinfo($handle, CURLINFO_REDIRECT_URL) ?: '');
         $message = curl_error($handle);
-        curl_close($handle);
+        // Kein curl_close(): seit PHP 8.0 wirkungslos (CurlHandle ist ein
+        // Objekt und wird selbst aufgeraeumt), seit 8.5 als veraltet
+        // gemeldet. Das Handle faellt hier ohnehin aus dem Gueltigkeitsbereich.
+        unset($handle);
 
         // Abbruch durch die Groessenbegrenzung ist kein echter Fehler.
         if ($errorNumber === CURLE_WRITE_ERROR && $status > 0) {