Anmeldung wahlweise ueber OpenID Connect (Authentik)

Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg:
OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration
aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher.

Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania
sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die
Rollenpruefung und die langlebigen API-Tokens unveraendert.

Backend
- Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein
  zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung.
- Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE)
  enden beide im selben Token-Schema.
- state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem
  Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit
  allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt.
  Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf
  bleibt mit der db-Fixture pruefbar.
- Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die
  BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein
  gleichlautender preferred_username uebernimmt nie ein bestehendes Konto.
- users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password
  faengt das ab, sonst antwortete der Login mit 500 statt 401.

Verknuepfen bestehender Konten
- Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen
  und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es
  braucht also weder eine hinterlegte Adresse noch Admin-Rechte.
- Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token
  nicht mitschicken kann.
- Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen.

iOS
- AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem
  eingebetteten WebView, und ohne Client-Secret.
- offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und
  bekaeme sonst einen ueberfluessigen Zustimmungsdialog.
- Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App
  still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung.

Deployment
- docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit
  fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht
  erfordern.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ios/Sources/Session.swift

@@ -122,6 +122,7 @@ final class Session: ObservableObject {
     /// wenn der Server aus der Liste verschwindet.
     func removeProfile(id: UUID) {
         Keychain.delete(account: Session.keychainAccount(for: id))
+        OIDCLogin.abmelden(profileID: id)
         NotificationStore.remove(for: id)
         AppDashboardStore.remove(for: id)
         profiles.removeAll { $0.id == id }
@@ -166,7 +167,11 @@ final class Session: ObservableObject {
 
     /// `persist == false` heisst: die Anmeldung gilt nur, solange die App laeuft.
     /// Auf dem Geraet bleibt dann nichts zurueck.
-    func store(token newToken: String, username name: String, isAdmin admin: Bool, persist: Bool) {
+    /// `oidcSlug` merkt, ueber welchen Anmeldedienst die Anmeldung lief – nur so
+    /// weiss die App spaeter, wo sie ein abgelaufenes Token erneuern kann. Bei
+    /// Passwort-Anmeldung bleibt es leer.
+    func store(token newToken: String, username name: String, isAdmin admin: Bool,
+               persist: Bool, oidcSlug: String? = nil) {
         token = newToken
         stayLoggedIn = persist
         UserDefaults.standard.set(persist, forKey: stayKey)
@@ -175,6 +180,7 @@ final class Session: ObservableObject {
               let index = profiles.firstIndex(where: { $0.id == id }) else { return }
         profiles[index].isAdmin = admin
         profiles[index].username = persist ? name : ""
+        profiles[index].oidcSlug = oidcSlug
         ProfileStore.save(profiles)
 
         if persist {
@@ -189,9 +195,13 @@ final class Session: ObservableObject {
         token = nil
         guard let id = activeProfileID else { return }
         Keychain.delete(account: Session.keychainAccount(for: id))
+        // Der Anmeldezustand beim Dienst enthaelt das Refresh-Token. Bliebe er
+        // liegen, waere man nach dem Abmelden faktisch weiter angemeldet.
+        OIDCLogin.abmelden(profileID: id)
         if let index = profiles.firstIndex(where: { $0.id == id }) {
             profiles[index].username = ""
             profiles[index].isAdmin = false
+            profiles[index].oidcSlug = nil
             ProfileStore.save(profiles)
         }
     }
@@ -221,18 +231,29 @@ enum Keychain {
     private static let service = "com.scarriffle.vorrania"
 
     static func write(_ value: String, account: String) {
+        writeData(Data(value.utf8), account: account)
+    }
+
+    static func read(account: String) -> String? {
+        guard let data = readData(account: account) else { return nil }
+        return String(data: data, encoding: .utf8)
+    }
+
+    /// Der AppAuth-Anmeldezustand ist ein Archiv und kein Text – deshalb neben
+    /// den String-Varianten auch der direkte Weg ueber `Data`.
+    static func writeData(_ value: Data, account: String) {
         delete(account: account)
         let query: [String: Any] = [
             kSecClass as String: kSecClassGenericPassword,
             kSecAttrService as String: service,
             kSecAttrAccount as String: account,
-            kSecValueData as String: Data(value.utf8),
+            kSecValueData as String: value,
             kSecAttrAccessible as String: kSecAttrAccessibleAfterFirstUnlock,
         ]
         SecItemAdd(query as CFDictionary, nil)
     }
 
-    static func read(account: String) -> String? {
+    static func readData(account: String) -> Data? {
         let query: [String: Any] = [
             kSecClass as String: kSecClassGenericPassword,
             kSecAttrService as String: service,
@@ -243,7 +264,7 @@ enum Keychain {
         var item: CFTypeRef?
         guard SecItemCopyMatching(query as CFDictionary, &item) == errSecSuccess,
               let data = item as? Data else { return nil }
-        return String(data: data, encoding: .utf8)
+        return data
     }
 
     static func delete(account: String) {