fix(frontend): seltener Relogin durch stillen Token-Refresh

Zwei Lücken behoben, die bei abgelaufenem Access-Token (v.a. nach inaktivem
Tab, dessen Renew-Timer gedrosselt wurde) zu vollständigen Neuanmeldungen
führten:

- getAccessToken erneuert das Token jetzt proaktiv (signinSilent), wenn es
  abgelaufen ist, statt ein abgelaufenes Token zu senden. Profitiert auch den
  direkten fetch-Aufrufen (Bilder/PDFs).
- Der 401-Interceptor versucht zuerst einen stillen Refresh und wiederholt die
  Anfrage einmal; erst wenn das scheitert (Refresh-Token ungültig), erfolgt der
  Login-Redirect.

Gleichzeitige Refreshes werden dedupliziert (renewToken), um invalid_grant bei
Refresh-Token-Rotation zu vermeiden.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

paperless-frontend/src/api/client.ts

@@ -1,8 +1,12 @@
-import axios from 'axios';
-import { getAccessToken } from '../auth/oidc';
+import axios, { type InternalAxiosRequestConfig } from 'axios';
+import { getAccessToken, renewToken } from '../auth/oidc';
 import { triggerLoginRedirect } from '../auth/sessionRedirect';
 import { getEnv } from '../utils/env';
 
+// Markiert eine bereits einmal wiederholte Anfrage, um Endlosschleifen zu
+// vermeiden.
+type RetryConfig = InternalAxiosRequestConfig & { _retried?: boolean };
+
 const api = axios.create({
   baseURL: getEnv('VITE_API_URL') || '',
   timeout: 30000,
@@ -19,7 +23,18 @@ api.interceptors.request.use(async (config) => {
 api.interceptors.response.use(
   (response) => response,
   async (error) => {
-    if (error.response?.status === 401) {
+    const original = error.config as RetryConfig | undefined;
+    if (error.response?.status === 401 && original && !original._retried) {
+      original._retried = true;
+      // Erst still erneuern und die Anfrage einmal wiederholen, bevor wir den
+      // Nutzer zu einer kompletten Neuanmeldung zwingen.
+      const user = await renewToken();
+      if (user?.access_token) {
+        original.headers.Authorization = `Bearer ${user.access_token}`;
+        return api(original);
+      }
+      // Erneuerung fehlgeschlagen (Refresh-Token ungültig/abgelaufen) →
+      // echte Neuanmeldung nötig.
       await triggerLoginRedirect();
     }
     return Promise.reject(error);