Astro 7: die AVIF-Lücke in sharp/Astro 5 schließen

GHSA-26w7-cxv4-gfx2 (kritisch, RCE beim Verarbeiten von AVIF) hat für
Astro 5 keinen Fix. Also hoch auf Astro 7.3.2, @astrojs/node 11,
@astrojs/react 6 und sharp 0.35. `npm audit`: 0 Funde.

Zwei Stellen mussten mit:

- `experimental.csp` heißt seit Astro 7 `security.csp`. Das ist keine
  kosmetische Umbenennung: ein `csp` auf oberster Ebene wird ohne Warnung
  geschluckt und die Seite läuft ganz ohne Policy. Gemessen — Header
  vorher weg, nach der Korrektur wieder da, mit denselben Skript-Hashes
  wie unter Astro 5.
- sharp exportiert den Typ `Sharp` jetzt benannt statt als Namensraum.

Dazu das Image: node 20 → 22 (Astro 7 verlangt mehr als 20.19, die Tests
brauchen 22.6 für --experimental-strip-types), und `npm ci` mit Lockfile
statt `npm install` — sonst baut das Image nicht die Versionen, die
getestet wurden.

Geprüft gegen echtes Postgres: alle Seiten 200, Upload durch sharp 0.35,
Bogen-PDF auf 210,00 × 297,00 mm gemessen, Einzelbild 35 × 45 mm bei
300 dpi = 413 × 531 px mit korrekter dpi-Angabe. 124 Tests grün.

package.json

@@ -3,6 +3,9 @@
   "type": "module",
   "version": "0.1.0",
   "private": true,
+  "engines": {
+    "node": ">=22.6"
+  },
   "scripts": {
     "dev": "astro dev",
     "build": "astro build",
@@ -12,15 +15,15 @@
     "test": "node --experimental-strip-types --test tests/*.test.ts"
   },
   "dependencies": {
-    "@astrojs/node": "^9.1.3",
-    "@astrojs/react": "^4.2.1",
+    "@astrojs/node": "^11.1.5",
+    "@astrojs/react": "^6.0.5",
     "@aws-sdk/client-s3": "^3.700.0",
     "@aws-sdk/s3-request-presigner": "^3.700.0",
     "@fontsource/space-grotesk": "^5.1.0",
     "@fontsource/space-mono": "^5.1.0",
     "archiver": "^7.0.1",
     "argon2": "^0.41.1",
-    "astro": "^5.5.0",
+    "astro": "^7.3.2",
     "basic-ftp": "^5.0.5",
     "grammy": "^1.30.0",
     "heic-convert": "^2.1.0",
@@ -30,7 +33,7 @@
     "pg-boss": "^10.1.5",
     "react": "^19.0.0",
     "react-dom": "^19.0.0",
-    "sharp": "^0.33.5",
+    "sharp": "^0.35.4",
     "ssh2-sftp-client": "^11.0.0"
   },
   "devDependencies": {