Afficher la photo du bénévole sur son écran et sur l'écran référent

Photo transmise via le formulaire public (Volunteer.photo) : nouveau
composant partagé VolunteerAvatar (photo si disponible, sinon repli sur
le carré d'initiales existant, même gabarit dans les deux cas).

- Écran bénévole (VolunteerHomeView) : photo dans le bandeau d'accueil,
  à côté du message de bienvenue.
- Écran référent (MobileLeadPage) : photo devant le nom de chaque membre
  de l'équipe, à la place du carré d'initiales.

GET .../volunteers/{id}/photo n'était accessible qu'à COORDINATION/
RÉFÉRENT ; ouvert aussi à l'intéressé lui-même (même garde que
get_volunteer), sinon l'écran bénévole ne pouvait jamais charger sa
propre photo.

Vérifié : pytest (274 passés, dont le nouveau test d'accès à sa propre
photo), ruff, tsc --noEmit, eslint, vite build, smoke — tous verts.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/app/api/volunteers.py

@@ -226,12 +226,14 @@ def get_volunteer_planning(
 def get_volunteer_photo(
     volunteer_id: uuid.UUID,
     edition: Edition = Depends(get_edition),
-    _guard: Account = Depends(require_staff),
+    account: Account = Depends(current_account_in_edition),
     session: Session = Depends(get_session),
 ) -> Response:
     """Photo transmise par le bénévole via le formulaire public
-    (`app/api/forms.py`) — réservée à COORDINATION/RÉFÉRENT, pas exposée à
-    l'écran bénévole."""
+    (`app/api/forms.py`) — COORDINATION/RÉFÉRENT (ex. écran référent, en
+    face du nom de chaque membre de l'équipe) ou le bénévole lui-même (écran
+    bénévole)."""
+    _ensure_can_read(account, volunteer_id)
     volunteer = owned_or_404(session.get(Volunteer, volunteer_id), edition.id)
     if volunteer.photo is None:
         raise HTTPException(status_code=404, detail={"code": "error.not_found"})