Afficher la photo du bénévole sur son écran et sur l'écran référent

Photo transmise via le formulaire public (Volunteer.photo) : nouveau
composant partagé VolunteerAvatar (photo si disponible, sinon repli sur
le carré d'initiales existant, même gabarit dans les deux cas).

- Écran bénévole (VolunteerHomeView) : photo dans le bandeau d'accueil,
  à côté du message de bienvenue.
- Écran référent (MobileLeadPage) : photo devant le nom de chaque membre
  de l'équipe, à la place du carré d'initiales.

GET .../volunteers/{id}/photo n'était accessible qu'à COORDINATION/
RÉFÉRENT ; ouvert aussi à l'intéressé lui-même (même garde que
get_volunteer), sinon l'écran bénévole ne pouvait jamais charger sa
propre photo.

Vérifié : pytest (274 passés, dont le nouveau test d'accès à sa propre
photo), ruff, tsc --noEmit, eslint, vite build, smoke — tous verts.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/tests/test_authz.py

@@ -67,6 +67,22 @@ def test_volunteer_scope(session, edition, make_account, as_account):
     )
 
 
+def test_volunteer_sees_only_own_photo(session, edition, make_account, as_account):
+    me = make_volunteer(session, edition, email="me@e.fr")
+    other = make_volunteer(session, edition, email="other@e.fr")
+    me.photo = b"fake-bytes"
+    me.photo_content_type = "image/png"
+    other.photo = b"fake-bytes"
+    other.photo_content_type = "image/png"
+    session.add_all([me, other])
+    session.commit()
+    account = make_account(Role.VOLUNTEER, volunteer_id=me.id, email="me@e.fr")
+    client = as_account(account)
+
+    assert client.get(_e(edition, f"/volunteers/{me.id}/photo")).status_code == 200
+    assert client.get(_e(edition, f"/volunteers/{other.id}/photo")).status_code == 403
+
+
 def test_volunteer_sees_only_own_assignments(
     session, edition, make_account, as_account
 ):