Anmeldung wahlweise ueber OpenID Connect (Authentik)

Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg:
OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration
aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher.

Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania
sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die
Rollenpruefung und die langlebigen API-Tokens unveraendert.

Backend
- Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein
  zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung.
- Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE)
  enden beide im selben Token-Schema.
- state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem
  Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit
  allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt.
  Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf
  bleibt mit der db-Fixture pruefbar.
- Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die
  BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein
  gleichlautender preferred_username uebernimmt nie ein bestehendes Konto.
- users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password
  faengt das ab, sonst antwortete der Login mit 500 statt 401.

Verknuepfen bestehender Konten
- Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen
  und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es
  braucht also weder eine hinterlegte Adresse noch Admin-Rechte.
- Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token
  nicht mitschicken kann.
- Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen.

iOS
- AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem
  eingebetteten WebView, und ohne Client-Secret.
- offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und
  bekaeme sonst einen ueberfluessigen Zustimmungsdialog.
- Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App
  still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung.

Deployment
- docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit
  fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht
  erfordern.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/routers/users.py

@@ -1,4 +1,5 @@
 from fastapi import APIRouter, Depends, HTTPException, status
+from sqlalchemy import func
 from sqlalchemy.orm import Session
 
 from ..database import get_db
@@ -10,6 +11,30 @@ from ..security import hash_password
 router = APIRouter(prefix="/users", tags=["users"], dependencies=[Depends(require_admin)])
 
 
+def _email_normalisiert(roh: str | None) -> str | None:
+    """Leereingabe heisst „keine Adresse"; gespeichert wird immer kleingeschrieben.
+
+    Die Adresse entscheidet, welches Konto ein SSO-Login beim ersten Mal
+    uebernimmt – deshalb darf sie nicht zweimal vergeben sein.
+    """
+    if roh is None:
+        return None
+    sauber = roh.strip().lower()
+    return sauber or None
+
+
+def _email_pruefen(db: Session, email: str | None, ausser_id: int | None = None) -> None:
+    if email is None:
+        return
+    frage = db.query(User).filter(func.lower(User.email) == email)
+    if ausser_id is not None:
+        frage = frage.filter(User.id != ausser_id)
+    if frage.first() is not None:
+        raise HTTPException(
+            status.HTTP_409_CONFLICT, "Diese E-Mail-Adresse ist bereits vergeben"
+        )
+
+
 @router.get("", response_model=list[UserOut])
 def list_users(db: Session = Depends(get_db)) -> list[User]:
     return db.query(User).order_by(User.username).all()
@@ -19,9 +44,12 @@ def list_users(db: Session = Depends(get_db)) -> list[User]:
 def create_user(payload: UserCreate, db: Session = Depends(get_db)) -> User:
     if db.query(User).filter(User.username == payload.username).first():
         raise HTTPException(status.HTTP_409_CONFLICT, "Benutzername existiert bereits")
+    email = _email_normalisiert(payload.email)
+    _email_pruefen(db, email)
     user = User(
         username=payload.username,
         password_hash=hash_password(payload.password),
+        email=email,
         role=payload.role,
     )
     db.add(user)
@@ -39,6 +67,10 @@ def update_user(
         raise HTTPException(status.HTTP_404_NOT_FOUND, "Benutzer nicht gefunden")
     if payload.password is not None:
         user.password_hash = hash_password(payload.password)
+    if payload.email is not None:
+        email = _email_normalisiert(payload.email)
+        _email_pruefen(db, email, ausser_id=user.id)
+        user.email = email
     if payload.role is not None:
         user.role = payload.role
     db.commit()