feat(render): raport PDF przez LaTeX jako osobna usluga (PRE-24)

Ostatnia z osmiu wskazowek partnerow. Nowa usluga services/render sklada raport:
generuje plik posredni .tex i kompiluje go XeLaTeX-em do PDF.

OSOBNY komponent, nie czesc prezentacji — ta sama zasada co przy izolacji
swissepha (LOG-27). TeX Live wazy setki megabajtow; w obrazie produktu
spowalnialby kazdy build, a tak aktualizuje sie niezaleznie i jego awaria nie
kladzie aplikacji, tylko przycisk „Pobierz PDF".

SZYFROWANIE, o ktore prosiles: lacze prezentacja↔render idzie tak samo jak
pozostale, ale z WLASNYM, TRZECIM kluczem (LINK_KEY_PRESENTATION_RENDER). Osobny,
bo tym laczem plynie CALY raport — dane urodzeniowe i opisy z baz — wiec przejecie
go nie moze otwierac lacza do logiki ani do danych. Fail-closed: bez klucza pod
nie wstaje. Test kopii link_crypto obejmuje teraz cztery uslugi.

Uklad PDF wg prosby: imie i nazwisko -> wprowadzone dane -> RYSUNEK kosmogramu
-> interpretacja natalna -> predykcje okresowe. Test pilnuje kolejnosci.

Dwie rzeczy, ktore wyszly dopiero przy skladaniu tego kawalka:

1. KOSMOGRAM NIE NADAWAL SIE DO PDF. Uzywa zmiennych CSS (var(--line)) i klasy
   .glyph, ktorej font podaje styles.css — a samodzielny konwerter SVG→PDF nie zna
   naszego arkusza. Wyszlyby czarne kreski BEZ SYMBOLI. Stad wariant „print":
   konkretne kolory na bialym tle i font glifow wpisany wprost w rysunek. Przy
   okazji zalatwia to etap 4 planu kola (wariant do druku).

2. UCIECZKA ZNAKOW LATEXA byla zepsuta — i zlapal to moj wlasny test. Zamiana
   „\” na \textbackslash{} szla w tej samej petli co nawiasy, wiec kolejne
   podmiany ucieklyby nawiasy dopiero co wstawione: wychodzilo
   \textbackslash\{\}. Poprawka: ukosnik chowany pod znacznik zastepczy i
   rozwijany na koncu. To nie kosmetyka — niezauwazony „%” komentuje RESZTE LINII,
   wiec zdanie od modelu urywaloby sie w polowie, a PDF powstawalby normalnie,
   tylko krotszy. Test na wrogim tekscie sprawdza tez, ze \end{document} ani
   \input{} nie wyrwa sie z dokumentu.

Usluga nie zapisuje nic poza katalogiem tymczasowym, ktory sprzata po sobie;
w manifescie readOnlyRootFilesystem + emptyDir na /tmp. /health raportuje
obecnosc xelatex i rsvg-convert, zeby zepsuty obraz bylo widac od razu.

Zweryfikowane na zywo (TestClient uslugi render): zadanie bez szyfrowania
z POPRAWNYM tokenem -> 400; obcy klucz -> 400 i tajny opis nie wraca; wlasciwy
klucz -> zadanie dochodzi do aplikacji, tresci baz NIE MA na kablu, odpowiedz
zaszyfrowana. Manifesty przechodza kubectl apply --dry-run=server na zywym
klastrze.

CZEGO NIE SPRAWDZILEM: samej kompilacji PDF. W tym srodowisku nie ma ani TeX
Live, ani dzialajacego runtime'u kontenerow (docker CLI jest, daemon nie) —
probowalem zbudowac obraz i sie nie dalo. Sprawdzone jest wszystko dookola:
generowanie .tex, ucieczka znakow, szyfrowanie, kontrakt API, samowystarczalnosc
SVG. Pierwsze uruchomienie na klastrze trzeba obejrzec — dlatego PRE-24 zostaje
jako „W trakcie", nie „Zrobione".

Instrukcja wdrozenia: docs/wdrozenie-render-pdf.md (klucz, obraz, merge,
weryfikacja, znane ograniczenia).

Testy: 15 nowych (render) + 14 (lacze i wariant druku w prezentacji).
Calosc: prezentacja 131, logika 265/1 skip, render 15.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

services/render/app/main.py

@@ -0,0 +1,62 @@
+"""Warstwa RENDER — usługa składająca raport PDF (PRE-24).
+
+OSOBNA usługa, nie część prezentacji, z tego samego powodu co silnik swisseph
+(LOG-27): TeX Live waży setki megabajtów. Trzymanie go w obrazie produktu
+spowalniałoby każdy build i deploy, a tak aktualizuje się niezależnie i awaria
+renderu nie kładzie aplikacji.
+
+Rozmawia TYLKO z prezentacją, po szyfrowanym łączu (własny, trzeci klucz —
+dostaje cały raport: dane urodzeniowe i opisy z baz). W klastrze wystawiona jako
+ClusterIP, bez wejścia z zewnątrz.
+
+Świadomie nie zapisuje niczego na dysk poza katalogiem tymczasowym, który sprząta
+po sobie — raport nie może zostawiać śladu w kontenerze.
+"""
+from __future__ import annotations
+
+import logging
+
+from fastapi import FastAPI, HTTPException
+from fastapi.responses import Response
+
+from app import link_crypto, security
+from app.compile import RenderError, to_pdf, toolchain_ready
+
+log = logging.getLogger("astrololo.render")
+
+app = FastAPI(title="astrololo · usługa render (PDF)")
+security.install(app, "render")            # token międzywarstwowy (LOG-32)
+# Szyfrowanie łącza od prezentacji. PO security.install, żeby także odmowa
+# tokenowa wracała zaszyfrowana — inaczej klient nie umiałby jej odczytać.
+link_crypto.install(app, link_crypto.ENV_PRESENTATION_RENDER, "render")
+
+
+@app.post("/pdf")
+def build_pdf(report: dict) -> Response:
+    """Raport (JSON) → PDF. Wejście: person, data, wheel_svg, natal, predictions.
+
+    Zwracamy surowe bajty PDF-a, nie base64 — łącze i tak jest szyfrowane, więc
+    kodowanie tylko rozdmuchałoby odpowiedź o trzecią część.
+    """
+    if not isinstance(report, dict):
+        raise HTTPException(422, "Oczekiwano obiektu JSON z raportem.")
+    try:
+        pdf = to_pdf(report)
+    except RenderError as e:
+        raise HTTPException(500, str(e))
+    except FileNotFoundError as e:                 # brak xelatex/rsvg w obrazie
+        raise HTTPException(503, f"Brak narzędzia w obrazie usługi render: {e}")
+    return Response(
+        content=pdf,
+        media_type="application/pdf",
+        headers={"Content-Disposition": 'attachment; filename="raport.pdf"'},
+    )
+
+
+@app.get("/health")
+def health() -> dict:
+    """Raportuje też obecność narzędzi — dzięki temu zepsuty obraz widać od razu,
+    a nie dopiero przy pierwszym raporcie."""
+    tools = toolchain_ready()
+    return {"status": "ok" if all(tools.values()) else "degraded",
+            "layer": "render", "tools": tools}