feat(auth): OpenID-Connect-SSO gegen Authentik (Backend + Web)

Zusaetzlicher Anmeldeweg per OIDC neben dem bestehenden Passwort-Login. Ohne
gesetztes OIDC_PROVIDERS aendert sich nichts: /api/auth/oidc/providers meldet
enabled:false und der Login-Screen bleibt unveraendert.

Backend
- oidc_config.py: Provider-Registry rein aus ENV. Ein zweiter Provider ist
  reine Konfiguration (OIDC_PROVIDERS + OIDC_<KEY>_* Block), keine Codeaenderung.
- oidc_client.py: Discovery, JWKS, Token-Tausch, ID-Token-Pruefung ueber
  authlib.jose mit fest gepinnter Signatur-Allowlist (nur asymmetrisch, damit
  alg:none und Algorithmus-Confusion ausgeschlossen sind).
- oidc_identity.py: Zuordnung ueber (provider_key, sub). Ein E-Mail-Treffer auf
  ein bestehendes Konto wird standardmaessig abgelehnt statt verknuepft — sonst
  erbt jeder, der im IdP eine beliebige E-Mail setzen kann, das passende Konto.
  Verknuepfen ist eine explizite, authentifizierte Aktion. Auto-Provisioning
  nur per ENV-Flag, standardmaessig aus, optional mit Domain-Allowlist.
- routers/oidc_router.py: /providers, /start, /callback, /complete, /exchange,
  /link, /identities. PKCE S256; Flow-State als kurzlebiges signiertes JWT in
  einem HttpOnly-Cookie mit jti==state statt eines prozesslokalen Dicts, damit
  der Flow Neustarts und mehrere Worker uebersteht. Das Calendarr-JWT wird ueber
  ein Einmal-Cookie uebergeben, nie ueber URL oder Fragment.
- /exchange als Kontrakt fuer die AppAuth-Clients: die App fuehrt den Flow als
  Public Client selbst aus und tauscht das ID-Token; kein Secret im Request.
- models.py: neue Tabelle oidc_identities, users.auth_source; Migration in
  main.py im dortigen try/except-Stil.

Nebenbefund, mitbehoben: auth.verify_password liess ValueError aus
bcrypt.checkpw durch. Ein nicht wohlgeformter password_hash wurde damit zu
HTTP 500 auf /api/auth/login und bei jedem CalDAV-Basic-Auth. SSO-Nutzer
bekommen einen echten bcrypt-Hash ueber ein zufaelliges, nirgends gespeichertes
Geheimnis; fuer CalDAV nutzen sie App-Passwoerter wie 2FA-Nutzer.

Web
- SSO-Block auf dem Login-Screen, aus /providers befuellt; Buttons sind Links,
  weil /start eine Top-Level-Navigation braucht.
- consumeSsoHandoff() laeuft vor den Setup-/Token-Pruefungen in boot() und
  raeumt die Query per replaceState ab, bevor es awaited.
- 401-Auto-Logout um die SSO-Pfade erweitert, sonst dreht ein fehlgeschlagener
  Handoff eine Reload-Schleife.
- i18n-Keys in de + en (Fallback-Kette deckt die uebrigen acht Sprachen).
- Service Worker laesst /api/auth/oidc/ unangetastet durch.

37 neue Tests (Gesamtsuite 60 gruen): Signaturpruefung mit echten RSA-Tokens,
alg:none, falscher iss/aud/nonce, unbekannte client_id, Provisioning-Policies,
Username-Kollision, Einmaligkeit des Handoff-Cookies, unerreichbarer Provider.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

frontend/js/app.js

@@ -3,11 +3,98 @@ import { initCalendar, showToast, openProfileModal } from './calendar.js';
 import { t } from './i18n.js';
 import { loadInstance } from './instance.js';
 
+// ── Single Sign-On ────────────────────────────────────────
+// Error slug from a failed SSO round-trip, shown once the login screen is up.
+let ssoErrorSlug = null;
+
+/**
+ * Handle the return leg of an OIDC login.
+ *
+ * The callback redirected us to /?sso=1 with the access token in a one-time
+ * HttpOnly cookie; trade it for the token here. Returns true when the user is
+ * now logged in. Must run before the setup/token checks in boot().
+ */
+async function consumeSsoHandoff() {
+  const params = new URLSearchParams(window.location.search);
+  const ok  = params.has('sso');
+  const err = params.get('sso_error');
+  if (!ok && !err) return false;               // normal load — zero cost
+
+  // Strip the marker before awaiting anything: a reload mid-flight must not
+  // try to redeem a cookie that has already been spent.
+  window.history.replaceState({}, '', window.location.pathname + window.location.hash);
+
+  if (err) { ssoErrorSlug = err; return false; }
+
+  try {
+    const res = await api.oidcComplete();
+    if (!res || !res.access_token) { ssoErrorSlug = 'generic'; return false; }
+    localStorage.setItem('token', res.access_token);
+    localStorage.setItem('user', JSON.stringify(res.user));
+    return true;
+  } catch (e) {
+    ssoErrorSlug = 'generic';
+    return false;
+  }
+}
+
+/** Render one button per configured provider on the login screen. */
+async function renderSsoButtons() {
+  const block = document.getElementById('sso-block');
+  const list  = document.getElementById('sso-buttons');
+  if (!block || !list) return;
+
+  if (ssoErrorSlug) {
+    const errEl = document.getElementById('login-error');
+    if (errEl) {
+      // Backend slugs come in both shapes: policy refusals are prefixed
+      // ("oidc_account_not_linked"), flow errors are not ("state_mismatch").
+      const bare = ssoErrorSlug.replace(/^oidc_/, '');
+      const msg = [`sso_err_${ssoErrorSlug}`, `sso_err_${bare}`]
+        .map(k => [k, t(k)])
+        .find(([k, v]) => v !== k);
+      errEl.textContent = msg ? msg[1] : t('sso_err_generic');
+      errEl.classList.remove('hidden');
+    }
+    ssoErrorSlug = null;
+  }
+
+  let cfg;
+  try {
+    cfg = await api.oidcProviders();
+  } catch (e) {
+    return;                                    // SSO unreachable → password only
+  }
+  if (!cfg || !cfg.enabled || !cfg.providers.length) return;
+
+  list.innerHTML = '';
+  for (const p of cfg.providers) {
+    const a = document.createElement('a');
+    a.className = 'btn btn-secondary btn-full sso-btn';
+    // A real link, not fetch(): /start answers 302 to the identity provider and
+    // needs a top-level navigation to follow it and to set the flow cookie.
+    a.href = p.start_url;
+    a.textContent = `${p.icon ? p.icon + ' ' : ''}${t('sso_login_with', { name: p.name })}`;
+    list.appendChild(a);
+  }
+  const divider = block.querySelector('.auth-divider');
+  if (divider) divider.textContent = t('sso_or');
+  block.classList.remove('hidden');
+}
+
 // ── Bootstrap ─────────────────────────────────────────────
 async function boot() {
   // Apply instance branding (logo/favicon/default theme) ASAP so the login and
   // setup screens are already branded. Public endpoint — no token needed.
   loadInstance();
+
+  // Returning from an SSO login? That has to be settled before anything else,
+  // because we arrive unauthenticated with a one-time cookie in hand.
+  if (await consumeSsoHandoff()) {
+    await launchApp();
+    return;
+  }
+
   // Check if setup is required
   let setupRequired = false;
   try {
@@ -48,6 +135,7 @@ async function boot() {
 
   showScreen('login');
   bindLoginForm();
+  renderSsoButtons();
 }
 
 function showScreen(name) {