feat(station): Umschalter fuer Migrationsimages mit/ohne WLAN-Daten

Die WLAN-Zugangsdaten stecken zur Bauzeit in der Firmware, es gibt also
zwei Abzuege je Ziel. Die Station haelt jetzt beide vor - images/
migrate-nocreds (aus tools/build_nocreds.sh, Lampe startet im
Onboarding-AP) und images/migrate-wlan (aus build/, Lampe haengt sofort
im eigenen WLAN) - und der Bediener waehlt per Umschalter, welcher
ausgeliefert wird: "ninlight-station bildsatz" oder der Menueeintrag am
Taster.

Der Zustand liegt in /var/lib/ninlight-station/imageset, ueberlebt
Neustarts und steht dauerhaft in der Fusszeile des Panels - in jedem
Modus, auch bei ausgeschalteter Station: man soll vor dem Einschalten
sehen, was gilt.

Vorgabe und Rueckfallwert in JEDEM Zweifelsfall ist "ohne-wlan". Im
Automatikmodus wird jede Klyqa-Lampe in Reichweite migriert, auch
fremde; ein Abzug ohne Zugangsdaten ist dann ein harmloser Fehlgriff,
einer mit Zugangsdaten traegt das eigene WLAN-Passwort in ein fremdes
Geraet.

Fehlt der gewaehlte Satz (Verzeichnis weg oder leer), wird NICHTS
ausgeliefert - kein stilles Ausweichen auf den anderen Satz. Der Server
antwortet 404 mit Status "noimageset", CLI und Panel sagen "FEHLT".

server.py und die Stations-Unit muessen mit: die Auswahl der
ausgelieferten Datei ist genau die Aufgabe des Servers, und ein
Symlink-Tausch haette "gewaehlt, aber nicht vorhanden" von "dieses
Modell fehlt" nicht mehr unterscheidbar gemacht.

tools/station/README.md

@@ -23,8 +23,43 @@ würde dort nur mit einer Fehlermeldung enden.
     tools/station/deploy.sh <pi-host> [target] Images ausliefern
     ssh <pi-host> ninlight-station on          einschalten
     ssh <pi-host> ninlight-station status      Zustand und letzte Auslieferungen
+    ssh <pi-host> ninlight-station bildsatz    welcher Migrations-Bildsatz gilt
     ssh <pi-host> ninlight-station off         ausschalten
 
+## Bildsatz: mit oder ohne WLAN-Zugangsdaten
+
+Die WLAN-Zugangsdaten stecken **zur Bauzeit** in der Firmware (`config.local.cmake`). Es
+gibt deshalb zwei Abzüge je Ziel, und die Station hält beide vor:
+
+| Umschalterstellung | Verzeichnis auf dem Pi | gebaut mit | die migrierte Lampe … |
+|---|---|---|---|
+| `ohne-wlan` (**Vorgabe**) | `images/migrate-nocreds/` | `tools/build_nocreds.sh` | startet im eigenen Onboarding-Zugangspunkt und wartet auf ein WLAN |
+| `mit-wlan` | `images/migrate-wlan/` | `build/` | hängt sofort im WLAN aus `config.local.cmake` |
+
+Umgeschaltet wird per `ninlight-station bildsatz ohne-wlan|mit-wlan` oder am Taster
+(Menüeintrag „Umschalten: …"). Das ist ein **Umschalter, keine Abfrage je Migration**: der
+Zustand steht in `/var/lib/ninlight-station/imageset`, überlebt Neustarts und bleibt, bis
+ihn jemand ändert. Genau deshalb steht er auch **dauerhaft in der Fußzeile des Panels** —
+in jedem Modus, auch bei ausgeschalteter Station: man soll vor jedem Einschalten sehen,
+was gilt, statt zwanzig Lampen mit den eigenen Zugangsdaten zu flashen, weil die
+Einstellung von vorletzter Woche noch stand.
+
+**Warum `ohne-wlan` die Vorgabe ist** (und warum jeder Zweifelsfall — Datei fehlt,
+unlesbar, unbekannter Inhalt — dorthin führt): im Automatikmodus wird jede alte
+Klyqa-Lampe in Funkreichweite migriert, auch fremde. Mit dem Abzug ohne Zugangsdaten ist
+ein Fehlgriff ärgerlich, aber harmlos — die Lampe steht im Onboarding-AP und wartet. Mit
+dem Abzug mit Zugangsdaten steht das eigene WLAN-Passwort unwiderruflich in einem fremden
+Gerät. Der teurere Fehler darf nie der sein, der ohne Zutun passiert.
+
+**Fehlt der gewählte Satz** (nie ausgeliefert, oder `tools/build_nocreds.sh` nie gelaufen),
+wird **nichts** ausgeliefert — kein stilles Ausweichen auf den anderen Satz. Der Server
+antwortet mit 404 und `status: noimageset`, `ninlight-station status` sagt „FEHLT", und auf
+dem Panel steht „SATZ FEHLT". „Vorhanden" heißt dabei überall dasselbe: Verzeichnis da
+**und** mindestens ein Image darin.
+
+`deploy.sh` liefert beide Sätze aus. Fehlt `build-nocreds/`, bleibt der Satz `ohne-wlan`
+auf dem Pi unangetastet (statt geleert zu werden) und der Lauf meldet, womit er entsteht.
+
 ## Taster am Gerät
 
 Sobald die Station läuft, wird `wlan0` zum Zugangspunkt und **jede SSH-Sitzung reißt ab**.