Anmeldung wahlweise ueber OpenID Connect (Authentik)

Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg:
OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration
aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher.

Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania
sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die
Rollenpruefung und die langlebigen API-Tokens unveraendert.

Backend
- Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein
  zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung.
- Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE)
  enden beide im selben Token-Schema.
- state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem
  Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit
  allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt.
  Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf
  bleibt mit der db-Fixture pruefbar.
- Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die
  BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein
  gleichlautender preferred_username uebernimmt nie ein bestehendes Konto.
- users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password
  faengt das ab, sonst antwortete der Login mit 500 statt 401.

Verknuepfen bestehender Konten
- Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen
  und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es
  braucht also weder eine hinterlegte Adresse noch Admin-Rechte.
- Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token
  nicht mitschicken kann.
- Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen.

iOS
- AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem
  eingebetteten WebView, und ohne Client-Secret.
- offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und
  bekaeme sonst einen ueberfluessigen Zustimmungsdialog.
- Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App
  still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung.

Deployment
- docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit
  fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht
  erfordern.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ios/Sources/LoginView.swift

@@ -10,6 +10,8 @@ struct LoginView: View {
     @State private var busy = false
     @State private var stayLoggedIn = Session.shared.stayLoggedIn
     @State private var manageShown = false
+    /// Am eingetragenen Server eingerichtete Anmeldedienste. Leer = nur Passwort.
+    @State private var anbieter: [OidcProviderResponse] = []
 
     var body: some View {
         NavigationStack {
@@ -19,6 +21,12 @@ struct LoginView: View {
                         .textInputAutocapitalization(.never)
                         .autocorrectionDisabled()
                         .keyboardType(.URL)
+                        // Erst mit hinterlegter Adresse laesst sich der Server
+                        // nach seinen Anmeldediensten fragen.
+                        .onSubmit {
+                            session.setServer(server)
+                            Task { await anbieterLaden() }
+                        }
                     // Mit mehreren Servern ist das hier der Weg zurueck, wenn man
                     // am falschen gelandet ist.
                     if session.profiles.count > 1 {
@@ -49,6 +57,18 @@ struct LoginView: View {
                     Button(busy ? "Anmelden…" : "Anmelden") { Task { await login() } }
                         .disabled(busy || server.isEmpty || username.isEmpty)
                 }
+                // Nur wenn der Server einen App-Zugang eingerichtet hat. Ohne
+                // Anmeldedienst sieht die Maske genauso aus wie bisher.
+                if !anbieter.isEmpty {
+                    Section("Single Sign-on") {
+                        ForEach(anbieter) { dienst in
+                            Button("Mit \(dienst.displayName) anmelden") {
+                                Task { await ssoLogin(dienst) }
+                            }
+                            .disabled(busy || dienst.nativeClientID == nil)
+                        }
+                    }
+                }
             }
             .navigationTitle(session.activeProfile?.name ?? "Vorrania")
             .toolbar {
@@ -60,7 +80,10 @@ struct LoginView: View {
         }
         // Beim Start und bei jedem Serverwechsel die Felder auf das aktive
         // Profil setzen - sonst steht die Adresse des vorigen Servers da.
-        .task(id: session.activeProfileID) { syncFromProfile() }
+        .task(id: session.activeProfileID) {
+            syncFromProfile()
+            await anbieterLaden()
+        }
     }
 
     private var profileSelection: Binding<UUID> {
@@ -77,6 +100,36 @@ struct LoginView: View {
         error = nil
     }
 
+    /// Fragt den Server, welche Anmeldedienste er kennt. Der APIClient liest die
+    /// Adresse aus der Sitzung – die Abfrage geht also erst, wenn ein Profil da
+    /// ist. Ein Fehler bleibt still: der Passwort-Login muss auch dann gehen,
+    /// wenn der Server alt ist und den Endpunkt gar nicht kennt.
+    private func anbieterLaden() async {
+        guard session.activeProfile != nil else { anbieter = []; return }
+        anbieter = (try? await APIClient.shared.oidcProviders()) ?? []
+    }
+
+    private func ssoLogin(_ dienst: OidcProviderResponse) async {
+        error = nil
+        busy = true
+        defer { busy = false }
+        session.setServer(server)
+        guard let profilID = session.activeProfileID else { return }
+        do {
+            let (idToken, nonce) = try await OIDCLogin.shared.anmelden(
+                provider: dienst, profileID: profilID
+            )
+            let token = try await APIClient.shared.oidcNativeLogin(
+                slug: dienst.slug, idToken: idToken, nonce: nonce
+            )
+            session.store(token: token.accessToken, username: token.username,
+                          isAdmin: token.role == "admin", persist: stayLoggedIn,
+                          oidcSlug: dienst.slug)
+        } catch {
+            self.error = error.localizedDescription
+        }
+    }
+
     private func login() async {
         error = nil
         busy = true