Phase 1: Notch-Shell, Design-System, Menüleisten-Infrastruktur

Zustandsmaschine und Geometrie sind testgetrieben entstanden und tragen 40
Tests — sie sind frei von AppKit, damit jeder Übergang ohne Fenster und ohne
Warten prüfbar ist. Zeit kommt nur als Ereignis herein.

Zwei Entscheidungen, die im Code begründet sind:

Der Zeiger wird über einen globalen Ereignismonitor verfolgt, nicht über ein
unsichtbares Fenster auf der Notch. Ein solches Fenster müsste Mausereignisse
annehmen, um sie zu bemerken, und würde damit Menüleiste und Fensterknöpfe
darunter unbenutzbar machen.

"Nur internes Display" fällt auf ein externes zurück, wenn kein eingebautes da
ist. Am Dock mit geschlossenem Deckel hieße die Einstellung wörtlich genommen,
dass Onyx unerreichbar wird.

Design: NSVisualEffectView mit eigenem Tint statt Liquid Glass — Onyx ist Stein,
kein Glas. Alle Farben und Maße liegen als Tokens in OnyxDesign.

Menüleiste: jedes Modul bekommt ein eigenes NSStatusItem. Elemente, denen macOS
mangels Platz keine Breite gibt, werden erkannt und gemeldet, statt still zu
verschwinden.

App-Target über XcodeGen, damit die Projektdefinition im Diff lesbar bleibt.
Nicht sandboxed, mit App-Group-Entitlement — baut, startet, signiert mit
PP34X97WS3.

Onyx/Onyx.entitlements

@@ -0,0 +1,27 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
+<plist version="1.0">
+<dict>
+    <!-- Bewusst KEIN com.apple.security.app-sandbox.
+
+         Die Calendarr-Integrationsanleitung fordert die Sandbox, aber sie ist
+         mit Onyx unvereinbar: eine sandboxed App kann keinen privilegierten
+         SMAppService-Daemon registrieren (kein Lüfter, kein Ladelimit), kommt
+         nicht an IOKit/IOReport (kein Hardware-Monitor) und kann /usr/bin/perl
+         nicht so starten, dass dessen MediaRemote-Entitlement noch greift.
+
+         Der App-Group-Container ist auf macOS unabhängig von der Sandbox, solange
+         beide Apps im selben Team signiert sind und die Group-ID mit dem
+         Team-Präfix beginnt. Nachgemessen in docs/spikes/D-appgroup.md. -->
+
+    <key>com.apple.security.application-groups</key>
+    <array>
+        <string>PP34X97WS3.group.com.scarriffleservices.calendarr</string>
+    </array>
+
+    <!-- Das mitgelieferte MediaRemoteAdapter.framework ist ad-hoc signiert,
+         der Host mit Team-Zertifikat. Ohne das wird es nicht geladen. -->
+    <key>com.apple.security.cs.disable-library-validation</key>
+    <true/>
+</dict>
+</plist>