Authorization Code mit PKCE, ID-Token gegen die JWKS des Anbieters geprüft.
Ohne Client-Bibliothek: Flimmer braucht genau einen Ablauf, dafür lohnt
keine weitere Abhängigkeit mit eigenem Versionsrhythmus.
Bekannte SSO-Kennungen werden verknüpft, sonst über die E-Mail-Adresse
einem vorhandenen Konto zugeordnet; das Anlegen neuer Konten lässt sich
per OIDC_AUTO_REGISTER unterbinden.
