Branding: Farben systemweit einstellbar + Bild-Upload statt nur URLs

Design-Tab (Administration → Einstellungen → Design):
- Akzentfarbe für Hell- und Dark-Mode, Markenverlauf und Eckenradius
- abgeleitete Töne (Hover, weiche Flächen, Fokusring) werden per
  color-mix aus der Grundfarbe berechnet – eine Farbe genügt
- Live-Vorschau mit Button, Badge, Chip, Logo-Kachel und Link
- Ausgabe als schlanker :root-Override über Ui::brandingStyle(), greift
  auf allen Seiten inklusive Login und Installer

Uploads (includes/Upload.php):
- Logo, Favicon, Login-Logo und Login-Hintergrund lassen sich jetzt
  hochladen; das URL-Feld bleibt als Alternative bestehen
- Whitelist nach Endung, 3-MB-Grenze, getimagesize-Prüfung für Raster,
  SVGs werden von Skripten, Event-Handlern und externen Verweisen befreit
- Zufällige Dateinamen in uploads/, dort sperrt eine .htaccess die
  Ausführung von PHP; beim Ersetzen wird die alte Datei gelöscht

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

includes/Ui.php

@@ -116,6 +116,24 @@ class Ui
             . '</style>';
     }
 
+    /**
+     * URL eines Bildes aus den Einstellungen.
+     * Hochgeladene Dateien liegen relativ zur Projektwurzel (uploads/…),
+     * externe Adressen bleiben unveraendert.
+     */
+    public static function mediaUrl(string $value, string $base = ''): string
+    {
+        $value = trim($value);
+        if ($value === '') {
+            return '';
+        }
+        if (preg_match('#^(https?:)?//#i', $value) || strncmp($value, 'data:', 5) === 0 || $value[0] === '/') {
+            return $value;
+        }
+
+        return $base . $value;
+    }
+
     /**
      * Kompletter Standard-Kopf: Favicon, Schrift, Icons, Design-System,
      * Theme-Bootstrap und Branding.
@@ -124,7 +142,7 @@ class Ui
     {
         $out = [];
 
-        $favicon = $db ? trim((string)$db->getSetting('favicon_url', '')) : '';
+        $favicon = $db ? self::mediaUrl((string)$db->getSetting('favicon_url', ''), $base) : '';
         if ($favicon !== '') {
             $out[] = '<link rel="icon" href="' . htmlspecialchars($favicon) . '">';
         }