Bisher prüfte das Backend nur Issuer und Signatur. Ein Access-Token, das
derselbe Authentik-Provider für eine andere Anwendung ausgestellt hat,
wurde ebenfalls akzeptiert.
- JwtStrategy verlangt aud == OIDC_CLIENT_ID (jwt-optionen.ts, getestet
mit echten RS256-Tokens). Ohne OIDC_CLIENT_ID bleibt die Prüfung aus,
mit Warnung beim Start.
- docker-compose.yml übergibt OIDC_CLIENT_ID jetzt ans Backend, Standard:
dieselbe Client-ID wie das Frontend (VITE_OIDC_CLIENT_ID).
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
