Fassung 1.4.3: Update ohne Git, Verwaltung auf dem Telefon, eigene Symbole

Vier Wuensche und ein Fund beim Nachmessen.

- Farbwaehler im Designbereich. Das Textfeld bleibt massgeblich, damit
  "@akzent" ein Verweis auf die Palette bleibt und nicht beim ersten
  Klick zu einem festen Hexwert erstarrt (ADR 066).
- Die Verwaltung auf dem Telefon: das Menue klappt unter 760 px zu und
  nennt den Bereich, in dem man steht; Ziele 44 px, kein Skript.
- Eigene SVG-Symbole statt Unicode-Zeichen - ein Telefon ersetzt die
  sonst durch Emoji in fremdem Stil. Zwei Eintraege trugen dabei
  denselben Pfad; ein Test findet beides (ADR 067).
- Update aus dem Releasearchiv: der Weg fuer Installationen ohne Git.
  Zwei Schritte, weil ein Prozess, der sich selbst ausgetauscht hat,
  mit dem alten Code weiterarbeitet. var/, .env, hochgeladene
  Schriften und das erzeugte Buendel bleiben unberuehrt; public/ wird
  dazu Datei fuer Datei zusammengefuehrt. Geprueft ohne Netz gegen
  eine Releaseseite im Speicher (ADR 068).

Beim Nachmessen der echten Startseite statt einer Testseite: das
groesste Element ueber der Falz ist dort kein <img>, sondern der
Hintergrund des ersten Abschnitts - und der steht nur im Stylesheet.
Drei Vorabverweise mit denselben Geraetegrenzen wie der Compiler holen
genau die Variante, die die Regel auch nimmt. LCP 1,3 s -> 1,1 s.
Dabei gefunden: dasselbe Bild wurde je Geraeteregel neu abgefragt -
Startseite 19 -> 15 Abfragen (ADR 069).

Geprueft: 428 Tests auf PHP 8.2 und 8.4, Editor-, Browser- und
Linkpruefung, Lighthouse auf drei echten Seiten (alles ausser der
Leistung der Startseite 100).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/Ops/Download.php

@@ -0,0 +1,61 @@
+<?php
+
+namespace App\Ops;
+
+/**
+ * Holt eine Datei über HTTPS - über curl, ersatzweise über den Dateizeiger.
+ *
+ * Zwei Wege, weil auf einem Webhosting mal das eine da ist und mal das andere: curl fehlt auf
+ * manchen Paketen, `allow_url_fopen` ist auf anderen abgeschaltet. Dieselbe Doppelung steht im
+ * Installer und beim Laden der Schriften.
+ *
+ * Eine eigene Klasse ist das aus zwei Gründen: Die Prüfung des Zertifikats und die Sperre für
+ * alles außer HTTPS stehen an genau einer Stelle - und der Updater lässt sich prüfen, ohne dass
+ * ein Test ins Netz geht.
+ */
+class Download
+{
+    public function __construct(
+        private int $connectTimeout = 15,
+        private int $timeout = 900,
+    ) {
+    }
+
+    /** Den Inhalt der Adresse, oder null wenn sie nicht mit 200 antwortet. */
+    public function get(string $url): ?string
+    {
+        // Kein http, kein file, kein ftp: ein Update, das über eine unverschlüsselte Verbindung
+        // kommt, kann unterwegs ausgetauscht worden sein.
+        if (!str_starts_with($url, 'https://')) {
+            return null;
+        }
+        if (function_exists('curl_init')) {
+            $curl = curl_init($url);
+            curl_setopt_array($curl, [
+                CURLOPT_RETURNTRANSFER => true,
+                CURLOPT_FOLLOWLOCATION => true,
+                CURLOPT_MAXREDIRS => 3,
+                CURLOPT_SSL_VERIFYPEER => true,
+                CURLOPT_SSL_VERIFYHOST => 2,
+                CURLOPT_CONNECTTIMEOUT => $this->connectTimeout,
+                CURLOPT_TIMEOUT => $this->timeout,
+                CURLOPT_USERAGENT => 'KantSites-Updater',
+            ]);
+            $antwort = curl_exec($curl);
+            $status = curl_getinfo($curl, CURLINFO_RESPONSE_CODE);
+            curl_close($curl);
+
+            return is_string($antwort) && 200 === $status ? $antwort : null;
+        }
+        if (!filter_var(ini_get('allow_url_fopen'), FILTER_VALIDATE_BOOL)) {
+            return null;
+        }
+        $context = stream_context_create([
+            'http' => ['timeout' => $this->timeout, 'follow_location' => 1, 'max_redirects' => 3, 'header' => "User-Agent: KantSites-Updater\r\n"],
+            'ssl' => ['verify_peer' => true, 'verify_peer_name' => true],
+        ]);
+        $antwort = @file_get_contents($url, false, $context);
+
+        return is_string($antwort) ? $antwort : null;
+    }
+}