set some security flags recommended by the Mozilla Observatory

make rewrites actually work correctly so that even for JSON we do not have to supple the .php ending

suppress error as result will be fine

create an API to retrieve emails and set new clients, add very rudimentary client management so master clients for the systems can be set, auto-authorize email scope, allow refresh tokens, give them 90 days validity

remove the saved redirect when it's being used, always accept email scope

secure token requests

make login on authorize actually work and redirect back to the authorize form after login

check session and login in authorize request

move session init into utils, re-fetch session after login

first step in making the authorize target work correctly, move check for secure connection into utils

log failures and some other actions

actually use the on-disk site-specific nonce to 'pepper' passwords before hashing so that stealing the database won't even reveal weak passwords

convert AuthUtils to a non-static class and instantiate it as an object, support site-wide nonces in settings

move password functions into utils class

move helper functions to an abstract class

make password reset work and verify timecodes

make password change work and add a time-based code to our forms (still needs to be verified)

make creating users and verifying emails actually work

require JS, set cookies, make parts of login flow work

some steps to get an actual authentication going, consolidate includes, put DB configuration into /etc to not expose password

add example files to auth server