Tests von 55 auf 12 Sekunden, Abhängigkeiten nur noch einmal installieren

Der Testlauf war zu langsam. Gemessen statt geraten: 0,68 s Vorbereitung
pro Test, bei 81 Tests praktisch die ganze Laufzeit.

Ursache war bcrypt. Pro Test wird ein Hash gebildet und geprüft, und das
ist absichtlich langsam - genau das soll es im Betrieb sein. Der Aufwand
ist jetzt über BCRYPT_ROUNDS einstellbar (Standard bleibt 12) und in den
Tests auf 4 gesetzt: dort geht es um die Ablauflogik, nicht um die Stärke
des Hashes.

Der Dekompressionsbomben-Test erzeugte ein Bild mit 400 Megapixeln, allein
dafür 4,8 s. Jetzt wird stattdessen die Grenze heruntergesetzt und ein
kleines Bild verwendet - dieselbe Codestelle, ohne die Wartezeit.

Ausserdem installierten Test- und Anwendungs-Image dieselben
Abhängigkeiten zweimal. Dockerfile.test setzt nun auf dem gebauten
Anwendungs-Image auf, der Testschritt kommt entsprechend danach.

Dabei zwei Fallen, die beide auffielen, weil die Tests plötzlich wieder
langsam waren:
- Das Basis-Image bringt seinen eigenen Stand von app/ mit. Ohne erneutes
  Kopieren prüfen die Tests den Code des Basis-Images - ist es veraltet,
  läuft alles gegen alten Code und meldet Erfolg.
- Der ENTRYPOINT des Anwendungs-Images startet eine Datenbank-Migration.
  Für Tests weder nötig noch erwünscht, darum geleert.

Ganze Kette lokal durchgespielt: bauen, testen, Image prüfen - 22 s.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01GR4bNaj9GtRu57J4Niii8o

app/config.py

@@ -50,6 +50,12 @@ class Einstellungen(BaseSettings):
     limit_reservieren: str = Field(default="5/hour", validation_alias="RATE_LIMIT_RESERVE")
     limit_anmelden: str = Field(default="10/hour", validation_alias="RATE_LIMIT_LOGIN")
 
+    # Rechenaufwand für das Passwort-Hashing. 12 ist der sinnvolle
+    # Standard; bcrypt ist absichtlich langsam, damit sich Passwörter
+    # nicht durchprobieren lassen. In Tests wird der Wert gesenkt -
+    # sonst kostet jeder Test rund eine halbe Sekunde nur dafür.
+    bcrypt_runden: int = Field(default=12, validation_alias="BCRYPT_ROUNDS")
+
     # Nach dieser Zeit ohne Aktivität wird abgemeldet.
     sitzung_max_ruhe_sekunden: int = Field(default=7200,
                                            validation_alias="SESSION_IDLE_SECONDS")