feat: gate oauth2 authorization on per-client roles

templates/security/oauth2_denied.html.twig

@@ -0,0 +1,23 @@
+{% extends 'layout.html.twig' %}
+
+{% block title %}Kein Zugriff{% endblock %}
+
+{% block content %}
+    <div class="px-4 lg:px-8 py-8 lg:py-16 max-w-2xl">
+        <h1 class="text-white uppercase pb-4 mb-8 border-b border-primary-bg/40">
+            Kein Zugriff
+        </h1>
+        <p class="mb-4 text-white">
+            Du bist bei MyE&amp;P angemeldet, aber dein Konto ist nicht für
+            <strong>{{ client }}</strong> freigeschaltet.
+        </p>
+        <p class="mb-8 text-white">
+            Das liegt an den Berechtigungen deines Kontos, nicht an deinem Passwort &ndash;
+            ein erneuter Login ändert daran nichts. Wenn du hier Zugriff brauchst, wende
+            dich bitte an dein E&amp;P-Team.
+        </p>
+        <a href="{{ path('app_account') }}" class="button button--primary">
+            Zurück zu MyE&amp;P
+        </a>
+    </div>
+{% endblock %}