Sitzungsdauer einstellbar, bis hin zu unbegrenzt

Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht
ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem
punktgenau nach einer Woche hinaus.

Beides ist jetzt geregelt:

- Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer
  Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach
  Single Sign-on.
- POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die
  eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung
  greift ohne Neuanmeldung.

"Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es
gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln
zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg
(JWT_SECRET aendern).

/auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus
einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein
unwiderruflicher geworden.

Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch,
solange nichts eingestellt ist.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/routers/oidc.py

@@ -35,6 +35,7 @@ from ..schemas import (
     Token,
 )
 from ..security import create_access_token
+from .settings import get_session_minutes
 from ..services import oidc as dienst
 from ..services import oidc_state
 
@@ -63,8 +64,12 @@ def _provider_oder_404(slug: str) -> OidcProvider:
     return provider
 
 
-def _token_fuer(user: User) -> Token:
-    token = create_access_token(user_id=user.id, role=user.role.value)
+def _token_fuer(user: User, db: Session) -> Token:
+    # Die Sitzungsdauer steht in den Einstellungen und gilt fuer JEDEN Weg
+    # herein - nach Single Sign-on genauso wie nach dem Passwort-Login.
+    token = create_access_token(
+        user_id=user.id, role=user.role.value, gueltig_minuten=get_session_minutes(db)
+    )
     return Token(access_token=token, role=user.role, username=user.username)
 
 
@@ -209,7 +214,7 @@ def anmeldung_abschliessen(
         logger.warning("SSO '%s' gescheitert: %s", slug, fehler)
         return _fehler_weiterleitung(fehler.schluessel, verknuepfung=verknuepfen_fuer is not None)
 
-    token = _token_fuer(nutzer)
+    token = _token_fuer(nutzer, db)
     logger.info("SSO '%s': '%s' angemeldet.", slug, nutzer.username)
     # Token im Fragment, nicht in der Abfragezeichenkette: Fragmente werden nicht
     # an den Server geschickt und landen damit auch nicht in den nginx-Logs.
@@ -253,7 +258,7 @@ def anmeldung_app(slug: str, payload: OidcNativeLogin, db: Session = Depends(get
         raise HTTPException(status.HTTP_401_UNAUTHORIZED, str(fehler)) from fehler
 
     logger.info("SSO '%s' (App): '%s' angemeldet.", slug, nutzer.username)
-    return _token_fuer(nutzer)
+    return _token_fuer(nutzer, db)
 
 
 # ---------------------------------------------------------------------------
@@ -394,7 +399,7 @@ def offene_anmeldung_neues_konto(code: str, db: Session = Depends(get_db)) -> To
     except dienst.OidcFehler as fehler:
         raise HTTPException(status.HTTP_403_FORBIDDEN, str(fehler)) from fehler
     logger.info("SSO '%s': neues Konto '%s' auf Wunsch angelegt.", provider.slug, nutzer.username)
-    return _token_fuer(nutzer)
+    return _token_fuer(nutzer, db)
 
 
 @router.post("/pending/{code}/verknuepfen", response_model=Token)
@@ -417,4 +422,4 @@ def offene_anmeldung_verknuepfen(
         )
         raise HTTPException(code_http, str(fehler)) from fehler
     logger.info("SSO '%s': mit bestehendem Konto '%s' verknuepft.", provider.slug, nutzer.username)
-    return _token_fuer(nutzer)
+    return _token_fuer(nutzer, db)