feat(auth): Anmeldung per OIDC mit Rollen aus Gruppen

Authorization Code mit PKCE, State und Nonce über openid-client 6.8.8; die Rolle kommt bei jeder Anmeldung aus dem Gruppen-Claim. Lokale Konten werden nie über den Namen übernommen, verknüpfen geht nur angemeldet. Getestet gegen einen Mock-IdP inklusive gefälschtem State, falscher Nonce und fremder Audience. Closes #016 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-12 16:57:50 +02:00
parent 99357d59bd
commit 6d6b0ff121
15 changed files with 871 additions and 8 deletions
@@ -40,6 +40,7 @@
    "jose": "^6.2.12",
    "lucide-react": "1.47.0",
    "next": "16.4.0",
+    "openid-client": "6.8.8",
    "pg": "^8.23.0",
    "pg-boss": "12.37.1",
    "pino": "10.4.0",