feat(gps-tracks): GPX download from public track popup

Реализация ET-011: кнопка «Скачать GPX» в popup публичного GPS-трека и
новый эндпоинт GET /api/gps-tracks/{track_id}/download (GPX 1.1 +
Content-Disposition с UTF-8 именем по RFC 5987). Реэкспорт защищён
per-source флагом `download_allowed` в `config/gps_sources.yaml`
(default-deny, MVP whitelist = `osm`).

Backend:
- `src/api/gps_tracks/export.py` — чистый stdlib-builder GPX 1.1
  (`build_gpx`) + санитизация имени файла (`safe_filename`, RFC 5987).
- `src/api/gps_tracks/endpoint.py` — новый route с проверками
  400 / 403 / 404 / 413; cap 200 000 точек (REQ-NF-02).
- `src/api/gps_tracks/config.py` — `load_download_allowed_sources()`
  читает YAML, default-deny при отсутствии поля; fallback на `{"osm"}`
  при отсутствии конфига.
- `src/api/main.py` — пробрасывает `GPS_SOURCES_CONFIG_PATH` в router.

Frontend:
- `src/web/gps_tracks.js` — кнопка в `_renderTrackPopupHtml`,
  обработчик `_downloadPublicTrack` (fetch + Blob + a.download — тот же
  паттерн, что в `app.js::downloadGPX`, R-1 митигирован), парсер
  `_parseFilenameFromCD` для RFC 5987, маппинг ошибок
  `_handleDownloadError` (403/404/413/5xx → showToast).
- `src/web/app.css` — стиль кнопки, 32×32 CSS px (REQ-NF-04).

Тесты:
- 13 unit для GPX-builder (UT-01/02/03/05; XSD-валидация против
  `tests/fixtures/gpx-1.1/gpx.xsd`).
- 10 unit для `safe_filename` (UT-04).
- 11 integration для download-эндпоинта (IT-01..08 +
  ANY-rule license check + default-deny без конфига).

ADR-014 (gpx-download-endpoint), ADR-015 (source-redistribution-policy).
Refs: ET-011

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

src/web/app.css

@@ -1300,3 +1300,44 @@ body.satellite-active #btn-basemap {
 .track-popup-sources a:hover {
   text-decoration: underline;
 }
+
+/* ET-011: кнопка «Скачать GPX» в popup публичного трека (REQ-NF-04) */
+.track-popup-actions {
+  margin-top: 8px;
+  display: flex;
+  gap: 8px;
+}
+
+.track-popup-download-btn {
+  display: inline-flex;
+  align-items: center;
+  justify-content: center;
+  width: 32px;
+  height: 32px;
+  border: none;
+  border-radius: 6px;
+  cursor: pointer;
+  background: var(--accent, #ff8c1a);
+  color: #fff;
+  padding: 0;
+  transition: opacity 0.15s ease;
+}
+
+.track-popup-download-btn:hover {
+  opacity: 0.9;
+}
+
+.track-popup-download-btn:focus {
+  outline: 2px solid var(--accent, #ff8c1a);
+  outline-offset: 2px;
+}
+
+.track-popup-download-btn svg {
+  width: 18px;
+  height: 18px;
+}
+
+.track-popup-download-btn.is-loading {
+  opacity: 0.6;
+  pointer-events: none;
+}