feat: Backend mit OIDC-Anmeldung, Apps und Einstellungen im Server

Aus der statischen Seite wird ein Go-Binary mit eingebetteter Oberfläche.
Grund: Apps über .env zu pflegen wurde unübersichtlich, und kosmetische
Einstellungen sollen auf jedem Gerät gleich sein.

- Anmeldung über den eigenen OIDC-Anbieter (PocketID), mit PKCE. Ohne
  Anmeldung gibt es nichts zu sehen – auch keine App-Liste.
- Sitzung als signiertes Cookie ohne Gegenstück im Server; Schreibzugriffe
  zusätzlich über ein lesbares CSRF-Cookie abgesichert
- Apps werden in der Oberfläche angelegt und bearbeitet, nicht mehr in der
  .env. Der Server prüft jeden Eintrag und meldet zurück, was er behält.
- Einstellungen liegen je Nutzer im Server; localStorage ist nur noch der
  Vorschuss, damit die Röhre beim Laden nicht in der falschen Farbe blitzt
- die Leiste holt die App-Liste aus /api/apps – freigegeben sind allein die
  Ursprünge, die selbst als App eingetragen sind
- Tests fahren einen echten OIDC-Anbieter hoch und gehen den Anmeldeweg
  einmal ganz durch

Ohne HONEYOS_OIDC_ISSUER läuft alles offen – für die Entwicklung, mit
deutlicher Warnung beim Start.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docker-compose.dev.yml

@@ -1,11 +1,17 @@
-# Entwicklung: web/ wird hineingemountet, ein Reload im Browser reicht.
+# Entwicklung: baut aus dem Quellstand und läuft OHNE Anmeldung.
+#
+#   docker compose -f docker-compose.dev.yml up -d --build   → http://localhost:8088
+#
+# Die Oberfläche steckt im Binary (go:embed), ein Reload im Browser reicht
+# also nicht — nach Änderungen an web/ neu bauen.
 services:
   honeyos:
     build: .
     image: honeyos:dev
     container_name: honeyos-dev
     ports:
-      - "${HONEYOS_PORT:-8088}:80"
+      - "8088:8080"
     volumes:
-      - ./web:/usr/share/nginx/html:ro
-      - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro
+      - ./devdata:/data
+    environment:
+      - HONEYOS_ADDR=:8080