Tests für Upload und Ui, strengere CI-Prüfungen

- tests/UploadTest.php prüft den SVG-Filter (Skripte, Event-Handler,
  javascript:-Verweise) und Upload::isLocal gegen Pfad-Tricks
- tests/UiTest.php prüft Versionsstempel, Media-Pfade und die
  Branding-Overrides inklusive Abweisung ungültiger Farbwerte
- PHPStan analysiert jetzt auch includes/Ui.php und includes/Upload.php
- CI vergleicht die Sprachdateien (gleiche Schlüsselmenge) und prüft,
  dass jeder im Code verwendete Schlüssel existiert

Dabei aufgefallen und behoben: Upload.php rief __() direkt auf und wäre
außerhalb einer Seite mit geladener I18n mit einem Fatal Error
abgebrochen; jetzt gibt es einen Fallback auf die deutsche Meldung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

phpstan.neon

@@ -1,6 +1,11 @@
 parameters:
     level: 5
+    # __() stammt aus der I18n-Klasse und wird global definiert
+    scanFiles:
+        - includes/I18n.php
     paths:
         - includes/Totp.php
         - includes/Crypto.php
         - includes/ApiKey.php
+        - includes/Ui.php
+        - includes/Upload.php