Bilder in vier Breiten, Releasearchiv fuer Hosting ohne Composer

Uploads werden weiterhin nach WebP umgewandelt, jetzt in vier statt drei
Breiten (480/960/1600/2400) und ohne Hochskalieren. Hintergrundbilder
waehlen ihre Variante je Geraet, weil CSS kein srcset kennt.

Dabei kam ein Fehler heraus, den erst der Browsertest zeigte: der
Dokumentpruefer erlaubte drei sources je Bild, also war mit der vierten
Variante jedes Dokument mit einem Bild ungueltig - ohne sichtbare Meldung.
Die Grenze haengt jetzt an MediaLibrary::WIDTHS.

Geteiltes Hosting hat meistens keinen Composer. scripts/build-release.php
baut deshalb auf einem Build-Rechner ein Archiv mit fertigem vendor/ ohne
Entwicklungspakete, samt SHA-256. Der Updater bricht ab, wenn ein Update
composer.lock aendert und Composer auf dem Server nicht aufrufbar ist,
statt mit einem unpassenden vendor/ weiterzulaufen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tests/EditorSecurityTest.php

@@ -444,7 +444,9 @@ final class EditorSecurityTest extends WebTestCase
             $client->request('POST', '/admin/api/media/upload', files: ['file' => new UploadedFile($path, 'example.php', test: true)], server: ['HTTP_X_CSRF_TOKEN' => $token]);
             self::assertResponseStatusCodeSame(201);
             $item = json_decode($client->getResponse()->getContent(), true)['item'];
-            self::assertSame([480, 960, 1600], array_column($item['variants'], 'width'));
+            // Four steps now; the last one is capped at the width of the source (1800 here), so a
+            // picture is never blown up beyond what was uploaded.
+            self::assertSame([480, 960, 1600, 1800], array_column($item['variants'], 'width'));
             foreach ($item['variants'] as $variant) {
                 $file = $this->path.'-media/'.$item['id'].'-'.$variant['width'].'.webp';
                 self::assertSame('image/webp', getimagesize($file)['mime']);