feat: SSO-Login per OpenID Connect (Authentik u.a.)

Dritte Login-Methode neben Passwort und Passkey, konfiguriert über
OIDC_ISSUER/OIDC_CLIENT_ID/OIDC_CLIENT_SECRET (optional, Button bleibt
ohne diese Vars ausgeblendet). Authorization-Code-Flow mit PKCE,
ID-Token-Signaturprüfung gegen das JWKS des Providers via neuer
Abhängigkeit "jose" (RS256 fest gepinnt gegen Algorithm-Confusion),
State/Nonce kurzlebig und einmalig verwendbar in neuer Tabelle
oidc_states (Migration 0003, analog zu webauthn_challenges).

Funktioniert ausschließlich für bereits angelegte Benutzer (Abgleich
per E-Mail) – kein Auto-Provisioning, keine Rollenübernahme aus
Claims, beides bleibt exklusiv über die bestehende Benutzerverwaltung
steuerbar.

app/login/page.tsx zu Server-Component-Wrapper reduziert (prüft
isConfigured(), liest ?error= aus searchParams), bisheriger Inhalt
nach components/LoginForm.tsx verschoben.

Version 1.9.0.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

db/migrations/0003_oidc_state.sql

@@ -0,0 +1,12 @@
+-- Kurzlebiger, einmalig verwendbarer State-Store für den OpenID-Connect-
+-- Login (SSO, z. B. gegen Authentik). Analog zu webauthn_challenges:
+-- der "state"-Wert selbst ist die CSRF-Absicherung für den Callback
+-- (der Callback ist ein Cross-Origin-GET vom Identity Provider, der
+-- normale isSameOrigin()-Check greift dort nicht).
+create table oidc_states (
+  state         text primary key,
+  nonce         text not null,
+  code_verifier text not null,
+  expires_at    timestamptz not null,
+  created_at    timestamptz not null default now()
+);