Anmeldung wahlweise ueber OpenID Connect (Authentik)

Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg:
OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration
aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher.

Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania
sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die
Rollenpruefung und die langlebigen API-Tokens unveraendert.

Backend
- Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein
  zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung.
- Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE)
  enden beide im selben Token-Schema.
- state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem
  Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit
  allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt.
  Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf
  bleibt mit der db-Fixture pruefbar.
- Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die
  BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein
  gleichlautender preferred_username uebernimmt nie ein bestehendes Konto.
- users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password
  faengt das ab, sonst antwortete der Login mit 500 statt 401.

Verknuepfen bestehender Konten
- Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen
  und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es
  braucht also weder eine hinterlegte Adresse noch Admin-Rechte.
- Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token
  nicht mitschicken kann.
- Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen.

iOS
- AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem
  eingebetteten WebView, und ohne Client-Secret.
- offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und
  bekaeme sonst einen ueberfluessigen Zustimmungsdialog.
- Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App
  still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung.

Deployment
- docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit
  fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht
  erfordern.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

web/src/api.js

@@ -18,6 +18,10 @@ export function setToken(token) {
 // Wird bei einer abgelaufenen/ungueltigen Anmeldung gerufen (HTTP 401).
 // Ohne das bleibt die Oberflaeche „angemeldet", waehrend jede Abfrage scheitert –
 // man sieht dann leere Seiten statt eines Hinweises.
+// Pfade, bei denen ein 401 NICHT „Sitzung abgelaufen" heisst: beim Anmelden
+// selbst heisst er „Passwort falsch", und die Anbieterliste ist oeffentlich.
+const OHNE_ABMELDUNG = ["/auth/login", "/auth/oidc/providers"];
+
 let beiAbmeldung = null;
 export function setUnauthorizedHandler(fn) {
   beiAbmeldung = fn;
@@ -51,7 +55,7 @@ async function request(path, { method = "GET", body, form, formData } = {}) {
 
   // Abgelaufene Anmeldung: EINMAL zentral behandeln statt in jeder Seite.
   // Beim Anmelden selbst nicht – dort heisst 401 schlicht „Passwort falsch".
-  if (resp.status === 401 && path !== "/auth/login") {
+  if (resp.status === 401 && !OHNE_ABMELDUNG.includes(path)) {
     beiAbmeldung?.();
   }
 
@@ -146,6 +150,16 @@ export const api = {
   login: (username, password) =>
     request("/auth/login", { method: "POST", form: { username, password } }),
   me: () => request("/auth/me"),
+  // Welche Single-Sign-on-Anbieter eingerichtet sind. Kommt vom Server, weil die
+  // Oberflaeche keine Build-Variablen kennt – ohne Anbieter bleibt die Liste leer
+  // und es taucht kein SSO-Knopf auf.
+  oidcProviders: () => request("/auth/oidc/providers"),
+  // Mit welchen Anmeldediensten das eigene Konto verknuepft ist.
+  oidcIdentities: () => request("/auth/oidc/identities"),
+  // Startet die Verknuepfung. Muss POST sein, damit das Bearer-Token der
+  // laufenden Sitzung mitgeht - bei einer Seitennavigation ginge das nicht.
+  oidcLinkStart: (slug) => request(`/auth/oidc/${slug}/link`, { method: "POST" }),
+  oidcUnlink: (slug) => request(`/auth/oidc/${slug}/link`, { method: "DELETE" }),
 
   // Produkte
   listProducts: (q, categoryId) => {