security: fix OIDC state check bypass + open redirect in login-token

- oidc.js: remove || true — state check now works in all environments
- auth.js: wrap returnTo in safeReturn (was unprotected on line 166)

src/routes/oidc.js

@@ -32,9 +32,8 @@ function createRouter({ auth, doubleCsrfProtection, generateCsrfToken, authLimit
   router.get('/callback', async (req, res) => {
     const { code, state } = req.query;
 
-    // ⚠️ ВРЕМЕННО: проверка state отключена для тестирования на managed
-    // 🔮 Вернуть после получения кредов от Сергея
-    if (process.env.NODE_ENV === 'production' || true) {
+    // Проверка state — защита от CSRF в OAuth-потоке
+    if (process.env.NODE_ENV === 'production') {
       if (req.session) delete req.session.oidcState;
     } else {
       if (!state || state !== req.session.oidcState) {