feat(render): raport PDF przez LaTeX jako osobna usluga (PRE-24)

Ostatnia z osmiu wskazowek partnerow. Nowa usluga services/render sklada raport:
generuje plik posredni .tex i kompiluje go XeLaTeX-em do PDF.

OSOBNY komponent, nie czesc prezentacji — ta sama zasada co przy izolacji
swissepha (LOG-27). TeX Live wazy setki megabajtow; w obrazie produktu
spowalnialby kazdy build, a tak aktualizuje sie niezaleznie i jego awaria nie
kladzie aplikacji, tylko przycisk „Pobierz PDF".

SZYFROWANIE, o ktore prosiles: lacze prezentacja↔render idzie tak samo jak
pozostale, ale z WLASNYM, TRZECIM kluczem (LINK_KEY_PRESENTATION_RENDER). Osobny,
bo tym laczem plynie CALY raport — dane urodzeniowe i opisy z baz — wiec przejecie
go nie moze otwierac lacza do logiki ani do danych. Fail-closed: bez klucza pod
nie wstaje. Test kopii link_crypto obejmuje teraz cztery uslugi.

Uklad PDF wg prosby: imie i nazwisko -> wprowadzone dane -> RYSUNEK kosmogramu
-> interpretacja natalna -> predykcje okresowe. Test pilnuje kolejnosci.

Dwie rzeczy, ktore wyszly dopiero przy skladaniu tego kawalka:

1. KOSMOGRAM NIE NADAWAL SIE DO PDF. Uzywa zmiennych CSS (var(--line)) i klasy
   .glyph, ktorej font podaje styles.css — a samodzielny konwerter SVG→PDF nie zna
   naszego arkusza. Wyszlyby czarne kreski BEZ SYMBOLI. Stad wariant „print":
   konkretne kolory na bialym tle i font glifow wpisany wprost w rysunek. Przy
   okazji zalatwia to etap 4 planu kola (wariant do druku).

2. UCIECZKA ZNAKOW LATEXA byla zepsuta — i zlapal to moj wlasny test. Zamiana
   „\” na \textbackslash{} szla w tej samej petli co nawiasy, wiec kolejne
   podmiany ucieklyby nawiasy dopiero co wstawione: wychodzilo
   \textbackslash\{\}. Poprawka: ukosnik chowany pod znacznik zastepczy i
   rozwijany na koncu. To nie kosmetyka — niezauwazony „%” komentuje RESZTE LINII,
   wiec zdanie od modelu urywaloby sie w polowie, a PDF powstawalby normalnie,
   tylko krotszy. Test na wrogim tekscie sprawdza tez, ze \end{document} ani
   \input{} nie wyrwa sie z dokumentu.

Usluga nie zapisuje nic poza katalogiem tymczasowym, ktory sprzata po sobie;
w manifescie readOnlyRootFilesystem + emptyDir na /tmp. /health raportuje
obecnosc xelatex i rsvg-convert, zeby zepsuty obraz bylo widac od razu.

Zweryfikowane na zywo (TestClient uslugi render): zadanie bez szyfrowania
z POPRAWNYM tokenem -> 400; obcy klucz -> 400 i tajny opis nie wraca; wlasciwy
klucz -> zadanie dochodzi do aplikacji, tresci baz NIE MA na kablu, odpowiedz
zaszyfrowana. Manifesty przechodza kubectl apply --dry-run=server na zywym
klastrze.

CZEGO NIE SPRAWDZILEM: samej kompilacji PDF. W tym srodowisku nie ma ani TeX
Live, ani dzialajacego runtime'u kontenerow (docker CLI jest, daemon nie) —
probowalem zbudowac obraz i sie nie dalo. Sprawdzone jest wszystko dookola:
generowanie .tex, ucieczka znakow, szyfrowanie, kontrakt API, samowystarczalnosc
SVG. Pierwsze uruchomienie na klastrze trzeba obejrzec — dlatego PRE-24 zostaje
jako „W trakcie", nie „Zrobione".

Instrukcja wdrozenia: docs/wdrozenie-render-pdf.md (klucz, obraz, merge,
weryfikacja, znane ograniczenia).

Testy: 15 nowych (render) + 14 (lacze i wariant druku w prezentacji).
Calosc: prezentacja 131, logika 265/1 skip, render 15.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

services/render/app/compile.py

@@ -0,0 +1,77 @@
+"""Kompilacja raportu do PDF (PRE-24).
+
+Dwa kroki zewnętrzne, oba w katalogu tymczasowym, który po sobie sprzątamy:
+  1. SVG kosmogramu → PDF (`rsvg-convert`). LaTeX nie wstawia SVG wprost;
+     zamiana na PDF zachowuje wektor, więc rysunek zostaje ostry przy dowolnym
+     powiększeniu.
+  2. .tex → PDF (`xelatex`).
+
+Świadomie NIE logujemy treści raportu — to dane urodzeniowe i opisy z baz.
+Do logu idzie wyłącznie ogon komunikatów LaTeXa przy błędzie, bo bez niego
+diagnoza jest niemożliwa.
+"""
+from __future__ import annotations
+
+import logging
+import pathlib
+import shutil
+import subprocess
+import tempfile
+
+from app.latex import build
+
+log = logging.getLogger("astrololo.render")
+
+WHEEL_SVG = "wheel.svg"
+WHEEL_PDF = "wheel.pdf"
+DOC = "report"
+TIMEOUT = 120          # xelatex na dużym tekście potrzebuje chwili
+
+
+class RenderError(Exception):
+    """Kompilacja się nie udała — z komunikatem nadającym się do pokazania."""
+
+
+def _run(cmd: list[str], cwd: pathlib.Path) -> subprocess.CompletedProcess:
+    return subprocess.run(cmd, cwd=cwd, capture_output=True, text=True, timeout=TIMEOUT)
+
+
+def _svg_to_pdf(svg: str, work: pathlib.Path) -> str | None:
+    """Zwraca nazwę pliku PDF z kosmogramem albo None, gdy nie ma czego rysować."""
+    if not svg or not svg.strip():
+        return None
+    (work / WHEEL_SVG).write_text(svg, encoding="utf-8")
+    proc = _run(["rsvg-convert", "-f", "pdf", "-o", WHEEL_PDF, WHEEL_SVG], work)
+    if proc.returncode != 0 or not (work / WHEEL_PDF).exists():
+        # Brak rysunku nie może wywalić całego raportu — tekst jest ważniejszy.
+        log.warning("konwersja kosmogramu nie udała się: %s", (proc.stderr or "")[-300:])
+        return None
+    return WHEEL_PDF
+
+
+def to_pdf(report: dict) -> bytes:
+    """Raport (dict) → bajty PDF. Rzuca RenderError, gdy LaTeX nie zbuduje pliku."""
+    with tempfile.TemporaryDirectory(prefix="astrololo-render-") as tmp:
+        work = pathlib.Path(tmp)
+        wheel = _svg_to_pdf(report.get("wheel_svg") or "", work)
+        (work / f"{DOC}.tex").write_text(build(report, wheel), encoding="utf-8")
+
+        proc = _run(
+            ["xelatex", "-interaction=nonstopmode", "-halt-on-error", f"{DOC}.tex"],
+            work,
+        )
+        pdf = work / f"{DOC}.pdf"
+        if not pdf.exists():
+            tail = (proc.stdout or "")[-1200:]
+            log.error("xelatex nie zbudował PDF-a; ogon logu: %s", tail)
+            raise RenderError("LaTeX nie zbudował dokumentu. Ogon logu: " + tail[-400:])
+        return pdf.read_bytes()
+
+
+def toolchain_ready() -> dict:
+    """Czy narzędzia są na miejscu — do /health, żeby awarię obrazu widzieć od razu,
+    a nie przy pierwszym raporcie."""
+    return {
+        "xelatex": bool(shutil.which("xelatex")),
+        "rsvg-convert": bool(shutil.which("rsvg-convert")),
+    }