Update PHP version constraint in composer.json and enhance composer.lock validation in build workflow

.gitea/workflows/build.yml

@@ -61,14 +61,28 @@ jobs:
           set -eu
           curl -sS https://getcomposer.org/installer \
             | php -- --install-dir=/usr/local/bin --filename=composer
-          composer validate --no-check-publish
+
           # Ohne Sperrdatei löst der Webserver bei jedem Ausrollen neu auf und
           # bekommt womöglich andere Fassungen als hier geprüft.
           test -f composer.lock || {
-            echo "composer.lock fehlt. Einmal 'composer update' laufen lassen und einchecken."
+            echo "composer.lock fehlt."
+            echo
+            echo "Einmalig auf dem Webserver erzeugen -- nur dort stimmen PHP-Fassung"
+            echo "und Erweiterungen, sodass die Auflösung zur Zielmaschine passt:"
+            echo
+            echo "  scp backend/composer.json deploy@10.0.11.131:/tmp/"
+            echo "  ssh deploy@10.0.11.131 'cd /tmp && composer update --no-interaction --no-autoloader --no-scripts'"
+            echo "  scp deploy@10.0.11.131:/tmp/composer.lock backend/"
+            echo
+            echo "Danach backend/composer.lock einchecken."
             exit 1
           }
 
+          # --strict, damit eine veraltete Sperrdatei den Lauf anhält statt nur
+          # zu warnen: sonst rollt der Server etwas anderes aus als hier geprüft.
+          # (composer validate meldet das ohne --strict nur als Warnung.)
+          composer validate --no-check-publish --strict
+
   # ──────────────────────────────────────────────────────────────────────────
   # Bauen und ausrollen in einem Auftrag.
   #

backend/composer.json

@@ -4,7 +4,7 @@
     "type": "project",
     "license": "proprietary",
     "require": {
-        "php": ">=8.5",
+        "php": "^8.5",
         "ext-json": "*",
         "ext-pdo": "*",
         "ext-pdo_pgsql": "*",