cb5c193980
Microsoft Personal-Accounts (outlook.com, hotmail.com, live.com) liefern mit `openid` allein keinen `email`-Claim ins ID-Token. `preferred_username` ist ein Display-Identifier, oft die Login-Email — aber nicht garantiert. Bei manchen Account-Konfigurationen ist der Claim leer oder enthält einen MS- internen Identifier. Fix: `email` als zusätzlichen OIDC-Standard-Scope. `email` ist ein "identity scope" (wie openid/profile/offline_access) und damit per OIDC-Spezifikation mit jedem Resource-Scope (auch IMAP.AccessAsUser.All) kompatibel — verursacht KEIN AADSTS70011 mehr. Azure-App-Permissions müssen nicht angepasst werden — OIDC-Identity-Scopes brauchen keine explizite Admin-Permission-Grant. extractEmailFromIdToken bleibt unverändert — die Lookup-Order `email → preferred_username → upn` greift jetzt erstmal auf den frischen `email`-Claim. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>