-- Kurzlebiger, einmalig verwendbarer State-Store für den OpenID-Connect-
-- Login (SSO, z. B. gegen Authentik). Analog zu webauthn_challenges:
-- der "state"-Wert selbst ist die CSRF-Absicherung für den Callback
-- (der Callback ist ein Cross-Origin-GET vom Identity Provider, der
-- normale isSameOrigin()-Check greift dort nicht).
create table oidc_states (
  state         text primary key,
  nonce         text not null,
  code_verifier text not null,
  expires_at    timestamptz not null,
  created_at    timestamptz not null default now()
);