Erstanmeldung fragt nach, statt still ein zweites Konto anzulegen

Wer sich zum ersten Mal ueber den Anmeldedienst anmeldet und hier noch kein
Konto hat, bekam bisher wortlos ein neues - mit Rolle "Benutzer" und ohne
Verlauf. Wer schon ein Konto hatte, wollte aber fast immer genau das verknuepfen
und stand dann mit zwei Konten da.

Jetzt zeigt der Rueckweg eine Entscheidungsseite: bestehendes Konto verknuepfen
oder ein neues anlegen. Das Verknuepfen verlangt einmalig Benutzername und
Passwort des bestehenden Kontos. Genau dieser Nachweis ist der Grund, warum der
Anmeldeweg selbst nie fragen darf, welches Konto gemeint ist - ohne ihn koennte
sich jeder mit einem beliebigen Konto beim Anmeldedienst an ein fremdes
Vorrania-Konto haengen.

Die geprueften Angaben liegen dafuer kurzlebig und einmalig in
oidc_pending_links; vom Code steht dort nur der SHA-256-Hash, wie bei den
API-Tokens. Ein falsch getipptes Passwort verbraucht den Vorgang nicht, und
unbekannter Benutzername und falsches Passwort antworten gleich - sonst liessen
sich vorhandene Konten abzaehlen.

AUTO_CREATE=false blendet den Knopf zum Anlegen aus und laesst sich auch ueber
den Dialog nicht umgehen. Der App-Weg bleibt unveraendert, weil er keinen
Zwischenschritt anzeigen kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/schemas.py

@@ -154,6 +154,29 @@ class OidcLinkStart(BaseModel):
     authorization_url: str
 
 
+class OidcPendingOut(BaseModel):
+    """Eine gepruefte Kennung, die noch keinem Konto gehoert.
+
+    Wird der Entscheidungsseite gezeigt: „neues Konto" oder „bestehendes
+    verknuepfen". Der Einmalcode aus der Adresse ist der Nachweis, dass die
+    Anmeldung beim Anbieter tatsaechlich stattgefunden hat.
+    """
+
+    provider: str
+    display_name: str
+    email: str | None = None
+    username_vorschlag: str
+    # Ob dieser Server das Anlegen neuer Konten ueberhaupt zulaesst.
+    anlegen_erlaubt: bool
+
+
+class OidcPendingVerknuepfen(BaseModel):
+    """Eigentumsnachweis fuer das bestehende Konto."""
+
+    username: str = Field(min_length=1, max_length=64)
+    password: str = Field(min_length=1, max_length=255)
+
+
 class OidcNativeLogin(BaseModel):
     """ID-Token aus dem App-Flow, das gegen ein Vorrania-Token getauscht wird."""