Anmeldung wahlweise ueber OpenID Connect (Authentik)

Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg:
OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration
aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher.

Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania
sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die
Rollenpruefung und die langlebigen API-Tokens unveraendert.

Backend
- Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein
  zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung.
- Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE)
  enden beide im selben Token-Schema.
- state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem
  Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit
  allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt.
  Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf
  bleibt mit der db-Fixture pruefbar.
- Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die
  BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein
  gleichlautender preferred_username uebernimmt nie ein bestehendes Konto.
- users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password
  faengt das ab, sonst antwortete der Login mit 500 statt 401.

Verknuepfen bestehender Konten
- Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen
  und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es
  braucht also weder eine hinterlegte Adresse noch Admin-Rechte.
- Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token
  nicht mitschicken kann.
- Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen.

iOS
- AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem
  eingebetteten WebView, und ohne Client-Secret.
- offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und
  bekaeme sonst einen ueberfluessigen Zustimmungsdialog.
- Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App
  still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung.

Deployment
- docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit
  fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht
  erfordern.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -18,3 +18,30 @@ ADMIN_PASSWORD=changeme
 
 # CORS (bei Betrieb hinter dem mitgelieferten nginx nicht nötig)
 CORS_ORIGINS=*
+
+# Oeffentliche Adresse dieser Instanz, z. B. https://vorrania.example.com
+# Wird nur fuer Single Sign-on gebraucht (Rueckleit-Adresse) - sonst leer lassen.
+PUBLIC_BASE_URL=
+
+# ---------------------------------------------------------------------------
+# Single Sign-on (OpenID Connect), z. B. gegen Authentik. Leer = aus; dann
+# bleibt es beim Passwort-Login und nichts aendert sich.
+#
+# Ein weiterer Anbieter ist reine Konfiguration: Kuerzel in OIDC_PROVIDERS
+# ergaenzen (kommagetrennt) und einen zweiten Block mit dessen Praefix anlegen.
+# ---------------------------------------------------------------------------
+OIDC_PROVIDERS=
+#OIDC_PROVIDERS=authentik
+#OIDC_AUTHENTIK_DISPLAY_NAME=Authentik
+#OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania/.well-known/openid-configuration
+# Vertraulicher Client (Web-Oberflaeche) - mit Secret:
+#OIDC_AUTHENTIK_CLIENT_ID=
+#OIDC_AUTHENTIK_CLIENT_SECRET=
+# Oeffentlicher Client (iOS-App) - ohne Secret, mit PKCE:
+#OIDC_AUTHENTIK_NATIVE_CLIENT_IDS=vorrania-ios
+# Neue Konten automatisch anlegen (Rolle "Benutzer"); false = nur bereits
+# vorhandene Konten duerfen sich per SSO anmelden.
+#OIDC_AUTHENTIK_AUTO_CREATE=true
+# Nur bei abweichendem Reverse-Proxy-Pfad noetig. Ohne diese Zeile bildet der
+# Server die Adresse als <PUBLIC_BASE_URL>/api/auth/oidc/authentik/callback.
+#OIDC_AUTHENTIK_REDIRECT_URI=