Slider mit Punkten, Karten als Karten, hervorgehobenes Wort

Umut hat den Nachbau Detail fuer Detail mit kant-it.de verglichen. Vier
Stellen, an denen das CMS etwas nicht konnte oder etwas Falsches tat.

Der Slider zeigte eine Rollleiste statt Punkte. Punkte zeichnet jetzt der
Browser selbst - scroll-marker-group und ::scroll-marker, ohne Skript, mit
erkennbarem aktivem Punkt. Wo ein Browser das noch nicht kennt, bleibt das
wischbare Schiebefeld. Pfeile gibt es bewusst nicht: Chrome legt
::scroll-button an den Seitenrand statt in den Slider. Und er rotiert
nicht von selbst, weil eine oeffentliche Seite kein JavaScript laedt.

Eine Beitragskarte war keine Karte, sondern eine lose Spalte. Jetzt weiss,
18px Ecken, Bild buendig oben im Verhaeltnis 16:10, Text darunter.

Die Theme-Schriftskala ueberschrieb die Groessen der Bausteine: jede
Kartenueberschrift war so gross wie eine Abschnittsueberschrift.

Eine Ueberschrift darf ab v17 ein Wort hervorheben. Dabei waere beinahe
eine Luecke entstanden: die Dokumentfassung war in der Schliessung des
Filters nicht gebunden, der Filter lief nie, die Ausgabe war schon
unescaped. Ein Test mit <script> in einer Ueberschrift hat es gezeigt.

Geprueft: 390 PHP-Tests unter 8.2 und 8.4, 18 JS-Tests, Editortest,
Browserpruefung, axe ohne Verstoss auf dem Nachbau.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tests/CmsTest.php

@@ -599,6 +599,33 @@ final class CmsTest extends TestCase
         self::assertSame(['count' => 5, 'category' => 'projekte', 'tag' => ''], $stored['blocks'][2]['props']);
     }
 
+    public function testAHeadingCanHighlightOneWordAndAStoredHeadingStaysFiltered(): void
+    {
+        // Im Original von kant-it.de ist die zweite Zeile der Hauptüberschrift rot. Dafür darf
+        // eine Überschrift ab v17 Auszeichnungen tragen - durch denselben Filter wie jeder Text,
+        // damit über diesen Weg kein Skript in eine Seite gelangt.
+        $document = DemoContent::starter('Hervorhebung');
+        $document['schemaVersion'] = 17;
+        $document['blocks'][0]['children'][0]['props']['text'] = 'Ihr Partner für <mark>digitale Exzellenz</mark><script>alert(1)</script>';
+        $this->pages->publish('page-1', $this->pages->saveDraft('page-1', $document, 0), 1);
+
+        $html = $this->request('/')->getContent();
+        self::assertStringContainsString('<mark>digitale Exzellenz</mark>', $html);
+        self::assertStringNotContainsString('alert(1)', $html);
+        self::assertStringNotContainsString('<script>alert', $html);
+
+        // Das hervorgehobene Wort nimmt die Akzentfarbe statt eines gelben Textmarkers.
+        $css = (string) file_get_contents(__DIR__.'/../public/assets/site.css');
+        self::assertStringContainsString('.kant h1 mark,.kant h2 mark,.kant h3 mark{background:transparent;color:var(--accent)', $css);
+
+        // Vor v17 bleibt eine Überschrift wörtlich, damit nichts nachträglich zu Markup wird.
+        $document['schemaVersion'] = 16;
+        $document['blocks'][0]['children'][0]['props']['text'] = 'Ganz <mark>ohne</mark> Auszeichnung';
+        $revision = $this->pages->saveDraft('page-1', $document, $this->pages->findForEditor('page-1')['version']);
+        $this->pages->publish('page-1', $revision, $this->pages->findForEditor('page-1')['version']);
+        self::assertStringContainsString('Ganz &lt;mark&gt;ohne&lt;/mark&gt; Auszeichnung', $this->request('/')->getContent());
+    }
+
     public function testALogoCanLinkToTheStartPageAndTheHeaderCanStick(): void
     {
         // Zwei Selbstverständlichkeiten, die fehlten: ein Bild ließ sich nicht verlinken - also