Zugangswege zum privaten Repository dokumentieren und trennen

Neue Option --update-repo trennt, woher installiert wird, von dem, was als
Updatequelle hinterlegt wird. Damit laesst sich mit vollen Zugangsdaten
installieren, ohne sie abzulegen (--update-repo aus). Enthaelt die hinterlegte
URL Zugangsdaten, weist das Skript darauf hin und maskiert sie in der Ausgabe.

Neuer Abschnitt 1b in ha_install.md beantwortet die drei naheliegenden Fragen
und benennt den Haken dahinter:

- Werkzeuge sind vorhanden. git 2.54, curl, unzip und ssh liegen im
  offiziellen HA-Container bereits vor, an der Instanz nachgesehen.
- Passwort in der URL funktioniert genauso wie ein Token - es ist aber das
  Kontopasswort, im Klartext in /config und in jeder Sicherung, und bei
  Zwei-Faktor-Anmeldung verweigert Gitea es ohnehin.
- Ein vorher im Terminal eingerichteter Anmeldehelfer hilft der
  Selbstaktualisierung NICHT. Sie klont aus dem Home-Assistant-Prozess und
  allein anhand von UPDATE_REPO_URL; _git() setzt keine Umgebung. Unter HA OS
  laeuft das Terminal-Add-on ausserdem in einem eigenen Container, geteilt ist
  nur /config. Fuer die Installation selbst genuegt der Helfer dagegen.

Dazu eine Optionstabelle mit Bewertung, der Hinweis dass auch curl fuer das
Skript selbst Zugang braucht, und was sich nach der Umstellung auf die
Integration daran aendert: der Zugang wandert in den Konfigurationsdialog und
Home Assistants eigene Ablage statt in eine Python-Datei.

homeassistant/INSTALL.md

@@ -45,14 +45,22 @@ zusammen erledigt. Am einfachsten direkt auf der HA-Instanz im Add-on
 bash <(curl -fsSL https://gitea.nothaft.cloud/paul/audi-app/raw/branch/main/homeassistant/install.sh)
 ```
 
-Liegt das Repository privat (Standard), braucht der Aufruf ein Zugangstoken:
+Liegt das Repository privat (Standard), braucht der Aufruf Zugangsdaten — mit
+Token oder mit Nutzer und Passwort, beides funktioniert:
 
 ```bash
-curl -fsSL -H "Authorization: token <DEIN-GITEA-TOKEN>" \
+curl -fsSL -H "Authorization: token <TOKEN>" \
   https://gitea.nothaft.cloud/paul/audi-app/raw/branch/main/homeassistant/install.sh -o install.sh
 bash install.sh --repo https://<nutzer>:<token>@gitea.nothaft.cloud/paul/audi-app.git
 ```
 
+**Eine Überlegung lohnt sich dabei:** Was in `--repo` steht, wird als Updatequelle
+hinterlegt und landet im Klartext in `pyscript/modules/einstellungen.py`. Ein
+Token ist dort besser aufgehoben als das Kontopasswort, weil er einzeln
+widerrufbar und auf Lesezugriff beschränkbar ist. Wer gar nichts ablegen will,
+hängt `--update-repo aus` an und aktualisiert weiter über dieses Skript.
+Die Abwägung im Einzelnen steht in `ha_install.md`, Abschnitt 1b.
+
 Alternativ von einem Rechner aus gegen ein eingebundenes config-Verzeichnis:
 
 ```bash