feat(anmeldung): OIDC, Passkeys und Passwort mit Auth.js v5

Drei Wege hinein, je Instanz zuschaltbar: generischer OIDC-Anbieter
(Entra ID beziehungsweise authentik), Passkeys und wahlweise E-Mail mit
Passwort.

Entscheidungen:
- Passkeys laufen direkt über SimpleWebAuthn 14, nicht über den
  experimentellen WebAuthn-Provider von Auth.js, der noch auf Fassung 9
  festgelegt ist.
- Eigener Prisma-Adapter, weil der mitgelieferte fest auf prisma.user und
  prisma.account zugreift, unsere Modelle aber Benutzer und Konto heißen.
- Sitzungen als JWT, weil Credentials-Provider das verlangen. Damit eine
  Sperre trotzdem sofort wirkt, liest der session-Callback Rolle und
  Status bei jeder Anfrage frisch aus der Datenbank. Die Tabellen sitzung
  und verifizierungs_token entfallen deshalb wieder.
- allowDangerousEmailAccountLinking ist bewusst an: je Instanz gibt es
  genau einen vertrauenswürdigen Anbieter, der die Adresse selbst prüft.

Anmeldung, Passwort und Passkey antworten bei Fehlschlag immer gleich,
damit sich nicht abfragen lässt, wer hier ein Konto hat. Die
WebAuthn-Herausforderung wird nach einem Versuch verworfen.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

src/app/anmelden/page.tsx

@@ -0,0 +1,56 @@
+import type { Metadata } from 'next'
+import { redirect } from 'next/navigation'
+import { AnmeldeFormular } from '@/app/anmelden/anmelde-formular'
+import { INSTANZ_NAME } from '@/lib/instanz'
+import { versionAnzeige } from '@/lib/version'
+import { angemeldet } from '@/server/berechtigung'
+import { aktuelleInstanz } from '@/server/instanz'
+import { umgebung } from '@/server/umgebung'
+
+export const metadata: Metadata = { title: 'Anmelden' }
+
+/** Nur Pfade innerhalb der App sind als Ziel erlaubt – keine fremden Adressen. */
+function sicheresZiel(weiter: string | undefined): string {
+  if (!weiter) return '/'
+  if (!weiter.startsWith('/') || weiter.startsWith('//')) return '/'
+  return weiter
+}
+
+export default async function AnmeldeSeite({
+  searchParams,
+}: {
+  searchParams: Promise<{ weiter?: string; error?: string }>
+}) {
+  const parameter = await searchParams
+  const ziel = sicheresZiel(parameter.weiter)
+
+  if (await angemeldet()) {
+    redirect(ziel)
+  }
+
+  const einst = umgebung()
+  const instanz = aktuelleInstanz()
+
+  return (
+    <main className="flex min-h-dvh flex-col items-center justify-center gap-6 px-4 py-10">
+      <div className="w-full max-w-sm">
+        <div className="mb-6 text-center">
+          <h1 className="text-2xl font-semibold tracking-tight">Planer</h1>
+          <p className="text-gedaempft-vordergrund mt-1 text-sm">
+            {INSTANZ_NAME[instanz]}
+          </p>
+        </div>
+
+        <AnmeldeFormular
+          ziel={ziel}
+          oidcAktiv={einst.oidcAktiv}
+          oidcName={einst.OIDC_NAME || 'Unternehmensanmeldung'}
+          passwortAktiv={einst.ANMELDUNG_PASSWORT}
+          fehlerAusUrl={parameter.error}
+        />
+      </div>
+
+      <p className="text-gedaempft-vordergrund text-xs">{versionAnzeige()}</p>
+    </main>
+  )
+}