Afficher la photo du bénévole sur son écran et sur l'écran référent

Photo transmise via le formulaire public (Volunteer.photo) : nouveau
composant partagé VolunteerAvatar (photo si disponible, sinon repli sur
le carré d'initiales existant, même gabarit dans les deux cas).

- Écran bénévole (VolunteerHomeView) : photo dans le bandeau d'accueil,
  à côté du message de bienvenue.
- Écran référent (MobileLeadPage) : photo devant le nom de chaque membre
  de l'équipe, à la place du carré d'initiales.

GET .../volunteers/{id}/photo n'était accessible qu'à COORDINATION/
RÉFÉRENT ; ouvert aussi à l'intéressé lui-même (même garde que
get_volunteer), sinon l'écran bénévole ne pouvait jamais charger sa
propre photo.

Vérifié : pytest (274 passés, dont le nouveau test d'accès à sa propre
photo), ruff, tsc --noEmit, eslint, vite build, smoke — tous verts.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/app/api/volunteers.py

@@ -226,12 +226,14 @@ def get_volunteer_planning(
 def get_volunteer_photo(
     volunteer_id: uuid.UUID,
     edition: Edition = Depends(get_edition),
-    _guard: Account = Depends(require_staff),
+    account: Account = Depends(current_account_in_edition),
     session: Session = Depends(get_session),
 ) -> Response:
     """Photo transmise par le bénévole via le formulaire public
-    (`app/api/forms.py`) — réservée à COORDINATION/RÉFÉRENT, pas exposée à
-    l'écran bénévole."""
+    (`app/api/forms.py`) — COORDINATION/RÉFÉRENT (ex. écran référent, en
+    face du nom de chaque membre de l'équipe) ou le bénévole lui-même (écran
+    bénévole)."""
+    _ensure_can_read(account, volunteer_id)
     volunteer = owned_or_404(session.get(Volunteer, volunteer_id), edition.id)
     if volunteer.photo is None:
         raise HTTPException(status_code=404, detail={"code": "error.not_found"})

backend/tests/test_authz.py

@@ -67,6 +67,22 @@ def test_volunteer_scope(session, edition, make_account, as_account):
     )
 
 
+def test_volunteer_sees_only_own_photo(session, edition, make_account, as_account):
+    me = make_volunteer(session, edition, email="me@e.fr")
+    other = make_volunteer(session, edition, email="other@e.fr")
+    me.photo = b"fake-bytes"
+    me.photo_content_type = "image/png"
+    other.photo = b"fake-bytes"
+    other.photo_content_type = "image/png"
+    session.add_all([me, other])
+    session.commit()
+    account = make_account(Role.VOLUNTEER, volunteer_id=me.id, email="me@e.fr")
+    client = as_account(account)
+
+    assert client.get(_e(edition, f"/volunteers/{me.id}/photo")).status_code == 200
+    assert client.get(_e(edition, f"/volunteers/{other.id}/photo")).status_code == 403
+
+
 def test_volunteer_sees_only_own_assignments(
     session, edition, make_account, as_account
 ):