Erstanmeldung fragt nach, statt still ein zweites Konto anzulegen

Wer sich zum ersten Mal ueber den Anmeldedienst anmeldet und hier noch kein
Konto hat, bekam bisher wortlos ein neues - mit Rolle "Benutzer" und ohne
Verlauf. Wer schon ein Konto hatte, wollte aber fast immer genau das verknuepfen
und stand dann mit zwei Konten da.

Jetzt zeigt der Rueckweg eine Entscheidungsseite: bestehendes Konto verknuepfen
oder ein neues anlegen. Das Verknuepfen verlangt einmalig Benutzername und
Passwort des bestehenden Kontos. Genau dieser Nachweis ist der Grund, warum der
Anmeldeweg selbst nie fragen darf, welches Konto gemeint ist - ohne ihn koennte
sich jeder mit einem beliebigen Konto beim Anmeldedienst an ein fremdes
Vorrania-Konto haengen.

Die geprueften Angaben liegen dafuer kurzlebig und einmalig in
oidc_pending_links; vom Code steht dort nur der SHA-256-Hash, wie bei den
API-Tokens. Ein falsch getipptes Passwort verbraucht den Vorgang nicht, und
unbekannter Benutzername und falsches Passwort antworten gleich - sonst liessen
sich vorhandene Konten abzaehlen.

AUTO_CREATE=false blendet den Knopf zum Anlegen aus und laesst sich auch ueber
den Dialog nicht umgehen. Der App-Weg bleibt unveraendert, weil er keinen
Zwischenschritt anzeigen kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/models.py

@@ -174,6 +174,31 @@ class OidcLoginState(Base):
     created_at: Mapped[datetime] = mapped_column(DateTime(timezone=True), default=_now)
 
 
+class OidcPendingLink(Base):
+    """Eine gepruefte Anmeldedienst-Kennung, die noch keinem Konto gehoert.
+
+    Entsteht, wenn sich jemand erfolgreich beim Anmeldedienst ausgewiesen hat,
+    aber weder eine bekannte Kennung noch eine passende bestaetigte E-Mail
+    vorliegt. Statt still ein zweites Konto anzulegen, fragt Vorrania nach:
+    neues Konto oder bestehendes verknuepfen.
+
+    Kurzlebig und einmalig verwendbar. Gespeichert werden nur die geprueften
+    Angaben aus dem ID-Token – nie das Token selbst.
+    """
+
+    __tablename__ = "oidc_pending_links"
+
+    # Wie bei ApiToken liegt nur der SHA-256-Hash hier; den Klartext kennt allein
+    # der Browser, der ihn im Adressfragment mitbekommen hat.
+    code_hash: Mapped[str] = mapped_column(String(64), primary_key=True)
+    provider: Mapped[str] = mapped_column(String(64), nullable=False)
+    subject: Mapped[str] = mapped_column(String(255), nullable=False)
+    email: Mapped[str | None] = mapped_column(String(255))
+    email_verified: Mapped[bool] = mapped_column(Boolean, nullable=False, default=False)
+    username_vorschlag: Mapped[str] = mapped_column(String(64), nullable=False)
+    created_at: Mapped[datetime] = mapped_column(DateTime(timezone=True), default=_now)
+
+
 class UserIdentity(Base):
     """Verknuepfung eines Vorrania-Kontos mit einem Konto beim Anmeldeanbieter.