fix: Lauffaehigkeit unter PHP 8.4 und 8.5 herstellen

Auf einem Hetzner-Webhosting mit PHP 8.5 brach die Anwendung beim ersten
Aufruf ab. Ausloeser war session.sid_length: seit PHP 8.4 als veraltet
gemarkt. Die Meldung wurde ausgegeben, damit waren Header raus - und
danach liess sich weder eine ini-Einstellung aendern noch eine Session
starten. Aus einer Randnotiz wurde so ein Totalausfall.

Behoben auf drei Ebenen:

1. Die veralteten Aufrufe sind weg. session.sid_length und
   session.sid_bits_per_character werden nicht mehr gesetzt; die
   Voreinstellungen liefern mit 128 Bit ohnehin genug Entropie.
   Ebenso entfallen curl_close(), imagedestroy() und finfo_close() -
   seit PHP 8.0 bzw. 8.5 wirkungslos und als veraltet gemeldet.

2. public/index.php puffert die Ausgabe von der ersten Zeile an. Viele
   Hoster erzwingen display_errors und lassen sich per ini_set() nicht
   davon abbringen. Gepuffert laesst sich Fremdausgabe vor dem Senden
   verwerfen und ins Fehlerprotokoll umleiten, statt die Antwort zu
   zerstoeren. Das schuetzt auch Binaerdownloads: eine einzelne
   Meldung haette bisher jedes PNG beschaedigt. Session::start()
   meldet ausserdem klar, wenn doch schon Ausgaben raus sind, statt
   eine Kaskade aus Warnungen zu erzeugen.

3. endroid/qr-code von 5.1 auf 6.0 angehoben. Version 5 markiert
   Parameter implizit als nullable, was PHP 8.4 bemaengelt - bei jedem
   erzeugten QR-Code. Version 6.1 waere ebenfalls verfuegbar, verlangt
   aber PHP 8.4+ und wuerde Hoster mit 8.2 oder 8.3 ausschliessen;
   6.0 laeuft ab 8.1.

Getestet wird jetzt gegen PHP 8.3, 8.4 und 8.5, jeweils mit
display_errors=On und error_reporting=E_ALL, damit Deprecations
sichtbar werden statt still im Log zu landen. Alle 232 Tests laufen auf
allen drei Versionen ohne eine einzige Meldung durch. Zusaetzlich ist
das Release-Paket in einer PHP-8.5-Umgebung mit fremdem Webroot
geprueft: Ersteinrichtung, Kurzlinks, Weiterleitung, QR-Codes und
Statistik, ohne Streuausgabe in Seiten oder Downloads.

src/App.php

@@ -116,6 +116,7 @@ final class App
             }
         }
 
+        $response = $this->discardStrayOutput($response);
         $response->send();
         $this->finishRequest();
 
@@ -291,6 +292,46 @@ final class App
         return Response::html($html, 500);
     }
 
+    /**
+     * Leert die Ausgabepuffer, bevor die eigentliche Antwort rausgeht.
+     *
+     * Alles, was sich dort angesammelt hat, stammt nicht von dieser
+     * Anwendung (die Templates rendern in eigene Puffer und liefern
+     * Zeichenketten zurueck), sondern von PHP-Meldungen des Servers.
+     * Solche Streuausgabe wuerde Header verhindern und Binaerdownloads
+     * beschaedigen - sie wandert deshalb ins Fehlerprotokoll.
+     */
+    private function discardStrayOutput(Response $response): Response
+    {
+        $stray = '';
+        while (ob_get_level() > 0) {
+            $stray .= (string) ob_get_clean();
+        }
+
+        if (trim($stray) === '') {
+            return $response;
+        }
+
+        error_log('[urlshort] Unerwartete Ausgabe vor der Antwort: ' . mb_substr(trim($stray), 0, 1000));
+
+        // Im Entwicklungsmodus nicht stillschweigend verschlucken -
+        // aber nur bei HTML, sonst waere das Bild wieder kaputt.
+        $isHtml = str_starts_with($response->headers()['Content-Type'] ?? '', 'text/html');
+        if ($this->config->isDevelopment() && $isHtml) {
+            // Bewusst ueber den Konstruktor, damit Status und die eben
+            // gesetzten Security-Header erhalten bleiben.
+            return new Response(
+                '<pre style="background:#fee;border:1px solid #c00;padding:1rem;margin:0;overflow:auto">'
+                . htmlspecialchars(trim($stray), ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8')
+                . '</pre>' . $response->body(),
+                $response->status(),
+                $response->headers(),
+            );
+        }
+
+        return $response;
+    }
+
     /**
      * Antwort ausliefern und die Verbindung schliessen, damit Nacharbeiten
      * (Klick-Protokollierung) den Nutzer nicht warten lassen.