feat(auth): Anmeldung per OIDC mit Rollen aus Gruppen

Authorization Code mit PKCE, State und Nonce über openid-client 6.8.8; die Rolle kommt bei jeder Anmeldung aus dem Gruppen-Claim. Lokale Konten werden nie über den Namen übernommen, verknüpfen geht nur angemeldet. Getestet gegen einen Mock-IdP inklusive gefälschtem State, falscher Nonce und fremder Audience.

Closes #016

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/zugang.test.ts

@@ -13,6 +13,10 @@ const AUSNAHMEN: Record<string, string> = {
   "src/app/api/v1/auth/token/route.ts":
     "proxdeploy login: Passwort gegen Token – prüft das Passwort selbst (mit Sperre)",
   "src/app/api/v1/auth/abmelden/route.ts": "Abmelden muss ohne gültige Sitzung gehen",
+  "src/app/api/v1/auth/oidc/start/route.ts":
+    "SSO-Start ist der Weg zur Anmeldung; Verknüpfen prüft die Sitzung selbst",
+  "src/app/api/v1/auth/oidc/rueckruf/route.ts":
+    "Rückkehr vom IdP; prüft State, PKCE, Nonce und ID-Token selbst",
   "src/app/api/v1/gesundheit/route.ts": "Healthcheck, verrät nur die Version",
   "src/app/anmelden/page.tsx": "Anmeldeseite",
   "src/app/kein-recht/page.tsx": "zeigt nur einen Hinweis",