docs: Update MCP OAuth documentation (DCR + Refresh Token)

[danieljustus]

Ziel

Die MCP-Dokumentation bildet den tatsächlichen OAuth-Implementierungsstand korrekt ab. Integratoren sehen sofort, dass OAuth 2.1 + PKCE + DCR funktioniert (seit v2.8.0) und welche Konfigurationsoptionen es gibt.

Warum jetzt

• docs/mcp-api.md:102-182 behauptet fälschlich, OAuth liefere "501 Not Implemented" — der Code implementiert OAuth aber funktional. Dadurch wissen Integratoren nicht, dass DCR funktioniert.
• docs/agent-integration.md hat keine opencode-Sektion für den OAuth-Pfad (nur Bearer-Token-Pfad).
• Nach den Änderungen (persistente Registry + Refresh-Token) muss die Doku den aktuellen Stand abbilden.

Aktueller Stand / Evidenz

• docs/mcp-api.md:112-113: Tabelle zeigt /mcp/oauth/authorize und /mcp/oauth/token als "501"
• docs/mcp-api.md:147-158: Beispiel-Responses zeigen 501-Fehler — obwohl der Code 200/302 zurückgibt
• docs/mcp-api.md:160-182: "openCode Integration Guide" beschreibt nur Bearer-Token-Pfad, sagt "well-known endpoints exist only to prevent client crashes"
• docs/agent-integration.md: Keine opencode-Sektion für OAuth DCR + PKCE + Refresh
• internal/mcp/serverbootstrap/wellknown.go:38-52: Endpoints liefern reale Metadata (issuer, authorize/token/register endpoints)

In Scope

• docs/mcp-api.md — Sektion "OAuth Well-Known Endpoints" komplett überarbeiten:
  • Tabelle: /mcp/oauth/authorize und /mcp/oauth/token von 501 → 200/302/400
  • OAuth-Flow als unterstützt dokumentieren mit kurzem Sequenz-Diagramm (oder Textablauf)
  • Hinweis: Client-Registrierungen sind jetzt persistent (nach Issue 1)
  • Hinweis: Refresh-Token wird unterstützt (nach Issue 2)
  • opencode-Sektion: beide Pfade dokumentieren (DCR/OAuth mit PKCE oder statischer Bearer-Token)
  • TTL-Defaults + Config-Optionen dokumentieren
• docs/agent-integration.md:
  • Neuen Abschnitt "OAuth Dynamic Client Registration" mit opencode-Beispiel
  • Erwähnen, dass refresh-token-Support selteneres Re-Authentifizieren ermöglicht
• CHANGELOG.md: Eintrag unter nächster Version

Out of Scope

• Code-Änderungen (separate Issues)
• Doku für andere MCP-Clients als opencode
• Tutorials für andere Passwort-Manager

Akzeptanzkriterien

• docs/mcp-api.md zeigt korrekte HTTP-Status-Codes für alle OAuth-Endpoints
• docs/mcp-api.md hat ein kurzes Sequenz-Diagramm oder Flow-Description des OAuth-Ablaufs
• docs/mcp-api.md dokumentiert die Config-Optionen oauth.access_token_ttl und oauth.refresh_token_ttl
• docs/agent-integration.md hat einen Abschnitt "OAuth Dynamic Client Registration" mit opencode-Beispiel
• CHANGELOG.md hat Eintrag für die OAuth-Verbesserungen
• Keine veralteten Behauptungen ("501 Not Implemented", "well-known only for crash prevention") mehr

Risiken / Abhängigkeiten

• Setzt Änderungen aus Issue 1 (Persistenz) und Issue 2 (Refresh-Token) voraus
• Sequenz-Diagramm kann durch reinen Textablauf ersetzt werden, wenn Diagramm-Tool nicht verfügbar

[danieljustus]

Fixed in f11053b.

• mcp-api.md: replaced outdated 501 Not Implemented stubs with complete OAuth 2.1 flow documentation (DCR, PKCE, authorize, token exchange, refresh, config TTLs, opencode OAuth example)
• agent-integration.md: added OAuth Dynamic Client Registration section
• CHANGELOG.md: entries for feat: Persistent OAuth Client Registry — fix disconnect-on-restart #45, feat: OAuth Refresh Token Grant with configurable TTLs #46, docs: Update MCP OAuth documentation (DCR + Refresh Token) #47 under Unreleased