fix(frontend): seltener Relogin durch stillen Token-Refresh

Zwei Lücken behoben, die bei abgelaufenem Access-Token (v.a. nach inaktivem
Tab, dessen Renew-Timer gedrosselt wurde) zu vollständigen Neuanmeldungen
führten:

- getAccessToken erneuert das Token jetzt proaktiv (signinSilent), wenn es
  abgelaufen ist, statt ein abgelaufenes Token zu senden. Profitiert auch den
  direkten fetch-Aufrufen (Bilder/PDFs).
- Der 401-Interceptor versucht zuerst einen stillen Refresh und wiederholt die
  Anfrage einmal; erst wenn das scheitert (Refresh-Token ungültig), erfolgt der
  Login-Redirect.

Gleichzeitige Refreshes werden dedupliziert (renewToken), um invalid_grant bei
Refresh-Token-Rotation zu vermeiden.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

paperless-frontend/src/auth/oidc.ts

@@ -34,9 +34,36 @@ export async function getUser(): Promise<User | null> {
   return userManager.getUser();
 }
 
+// Laufender Silent-Renew-Vorgang – mehrere gleichzeitige Aufrufe teilen sich
+// denselben Refresh (Dedup), damit nicht parallele signinSilent-Aufrufe mit
+// einem rotierenden Refresh-Token kollidieren (invalid_grant).
+let renewPromise: Promise<User | null> | null = null;
+
+/**
+ * Erneuert das Token still über den Refresh-Token (signinSilent). Schlägt die
+ * Erneuerung fehl, wird null geliefert (statt zu werfen). Gleichzeitige Aufrufe
+ * werden dedupliziert.
+ */
+export function renewToken(): Promise<User | null> {
+  if (!renewPromise) {
+    renewPromise = userManager.signinSilent().catch((err: unknown) => {
+      console.error('OIDC: signinSilent fehlgeschlagen', err);
+      return null;
+    });
+    void renewPromise.finally(() => {
+      renewPromise = null;
+    });
+  }
+  return renewPromise;
+}
+
 export async function getAccessToken(): Promise<string | null> {
   const user = await getUser();
-  return user?.access_token ?? null;
+  if (!user) return null; // nicht eingeloggt
+  if (!user.expired) return user.access_token ?? null;
+  // Token ist abgelaufen → vor dem Senden still erneuern.
+  const renewed = await renewToken();
+  return renewed?.access_token ?? null;
 }
 
 export { userManager };