Erstanmeldung fragt nach, statt still ein zweites Konto anzulegen

Wer sich zum ersten Mal ueber den Anmeldedienst anmeldet und hier noch kein
Konto hat, bekam bisher wortlos ein neues - mit Rolle "Benutzer" und ohne
Verlauf. Wer schon ein Konto hatte, wollte aber fast immer genau das verknuepfen
und stand dann mit zwei Konten da.

Jetzt zeigt der Rueckweg eine Entscheidungsseite: bestehendes Konto verknuepfen
oder ein neues anlegen. Das Verknuepfen verlangt einmalig Benutzername und
Passwort des bestehenden Kontos. Genau dieser Nachweis ist der Grund, warum der
Anmeldeweg selbst nie fragen darf, welches Konto gemeint ist - ohne ihn koennte
sich jeder mit einem beliebigen Konto beim Anmeldedienst an ein fremdes
Vorrania-Konto haengen.

Die geprueften Angaben liegen dafuer kurzlebig und einmalig in
oidc_pending_links; vom Code steht dort nur der SHA-256-Hash, wie bei den
API-Tokens. Ein falsch getipptes Passwort verbraucht den Vorgang nicht, und
unbekannter Benutzername und falsches Passwort antworten gleich - sonst liessen
sich vorhandene Konten abzaehlen.

AUTO_CREATE=false blendet den Knopf zum Anlegen aus und laesst sich auch ueber
den Dialog nicht umgehen. Der App-Weg bleibt unveraendert, weil er keinen
Zwischenschritt anzeigen kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

web/src/App.jsx

@@ -7,6 +7,7 @@ import ErrorBoundary from "./components/ErrorBoundary";
 import BrandMark from "./components/BrandMark";
 import Login from "./pages/Login";
 import OidcCallback from "./pages/OidcCallback";
+import SsoNeu from "./pages/SsoNeu";
 import Dashboard from "./pages/Dashboard";
 import Products from "./pages/Products";
 import ItemList from "./pages/ItemList";
@@ -203,6 +204,8 @@ export default function App() {
           diesem Moment noch nicht angemeldet) und MUSS vor dem Auffangmuster
           unten stehen – sonst schluckt "*" die Weiterleitung samt Token. */}
       <Route path="/auth/callback" element={<OidcCallback />} />
+      {/* Ebenfalls oeffentlich: hier ist man noch nicht angemeldet. */}
+      <Route path="/sso-neu" element={<SsoNeu />} />
       <Route path="*" element={<Navigate to="/" replace />} />
     </Routes>
   );