登录子系统：OIDC 统一自签 token + 吊销即时生效 + 设备并入会话列表 + 应用内扫码 + 禁则修复

接续 90a3790（扫码 A0+A1+B + step-up 雏形）。蓝本见 AUTH.md。

OIDC 统一到 cdrop 自签 token
- /auth/exchange 先 JWKS 验 id_token 签名（自签 token 的唯一信任锚）再签 cdrop
  自签 HS256 access token（绑 sid），不再把 IdP RS256 下发浏览器；验签失败仅告警
  并回退 RS256（会话仍建、下次 refresh 自愈），登录不中断
- /auth/refresh oidc 路径仍打 IdP 轮换 refresh_token + 探测 IdP 侧吊销，但同样回
  自签 token；createWebSession 改返回行 id
- verify 链保留 RS256 分支仅供桌面端 loopback（其即时吊销留后续）

吊销即时生效 + 被吊销设备自知回退
- verifySelfToken 每请求按 sid 查 web_sessions 行，行删即拒 → 吊销在被吊销设备
  下一次请求即生效（不等 TTL），oidc / self / guest 一致
- 前端仅在「服务端以 401 确证会话失效」时 forceLogout 清登录态、回登录页；短期连接
  失败（5xx / 网络）一律保留登录态（refreshTokens 改三态 refreshed/invalid/transient，
  cookieRefresh 改 discriminated 结果）
- __root 反应式守卫：prod 下失登录态且非认证路由即跳登录页；新增 auth.sessionLost.* 三语

设备列表并入会话列表 + 孤儿自动清除
- GET /api/auth/sessions 统一 web_sessions 与原生客户端设备（桌面 / iOS，自 devices
  登记表呈现，native=true，离线也列）；同名不重复列出，排除 shortcut 与无会话 browser
- 吊销网页会话连带删其设备登记（无同名在用会话时）；原生「登出」走
  DELETE /api/devices/{name}（同要求 step-up）
- 新增 DeleteOrphanBrowserDevices（browser 型且无存活 web_session），接入设备清扫器（1h）

应用内扫码 + 聚珍崩溃 / CJK 禁则修复
- 登录页内置 getUserMedia + jsqr 扫码，不再外跳系统应用（避免开错浏览器）
- 修聚珍（cjk-autospace）MutationObserver 与 React 重渲染同子树冲突致的 insertBefore
  崩溃：扫码 / 显码 / 批准三状态机页整页跳过聚珍（data-jz-skip）
- 修流动正文未跑 CJK 禁则（jinze 为段落级、须 opt-in）：设置 / 快捷指令 / 桌面页一批
  hint 补 data-jz-level="paragraph" + justify，短标签 / 状态仍留文本级

step-up 完善
- auth_time 改可选（Casdoor 不下发，原强制致死循环）；stepped_up_at 按会话绑定、
  StepUpMaxAgeSeconds 窗口内不复要求；新增 POST /api/auth/stepup
- 批准页 persist 编进 step-up returnTo 防整页跳转丢失；scope 随档绑定（信任=full /
  仅此次=guest），默认偏安全的「仅此次」

文档与测试
- AUTH.md：折中架构、accounts 薄表、令牌架构、扫码流程、step-up、§4.4 统一会话列表
- 新增 Go 测试：OIDC 自签验证、verifySelfToken 吊销即拒、会话吊销连带删设备、
  统一会话列表（含原生 / 不含 shortcut / 不重复）、孤儿清扫、删设备需 step-up

web/src/i18n/locales/zh-CN.ts

@@ -14,6 +14,10 @@ export const zhCN = {
     "app.disconnectedTitle": "正在重连",
     "app.disconnectedHint": "与服务器的连接已断开，正在自动重连，无需刷新页面。",
 
+    // ---- 会话失效（被远程吊销 / 过期）------------------------------------
+    "auth.sessionLost.title": "登录已失效",
+    "auth.sessionLost.body": "此设备的登录凭据已被注销或过期，请重新登录。",
+
     // ---- 顶部栏 / 用户菜单 ------------------------------------------------
     "nav.accountMenu": "账号菜单",
     "nav.thisDeviceLabel": "本机：",
@@ -32,6 +36,7 @@ export const zhCN = {
     "home.deviceList.title": "设备",
     "home.deviceList.onlineSuffix": "（{{count}} 台在线）",
     "home.deviceList.showOffline": "显示离线设备（{{count}}）",
+    "home.deviceList.hideOffline": "隐藏离线设备",
     "home.deviceList.empty":
         "暂无其他设备。在另一标签页或设备上以相同账户登录，并设置一个不同的设备名（设置 → 设备名称），即可在此处看到它。",
     "home.tabs.file": "文件",
@@ -93,6 +98,20 @@ export const zhCN = {
 
     // ---- 扫码登录 · 入口 -------------------------------------------------
     "qr.entry.fromLogin": "扫码登录此设备",
+    "qr.entry.scanNewDevice": "扫码登录新设备",
+
+    // 应用内扫码器：在已登录设备上扫新设备的二维码，把它接入账号。
+    "qr.scan.title": "扫码登录新设备",
+    "qr.scan.subtitle": "把另一台设备显示的二维码对准取景框。批准全程留在这台已登录设备上。",
+    "qr.scan.starting": "正在启动相机…",
+    "qr.scan.aiming": "把二维码对准取景框",
+    "qr.scan.foreign": "这不是本站的登录二维码。请对准新设备上“扫码登录此设备”生成的码。",
+    "qr.scan.noCamera": "这台设备没有可用的摄像头。请改用带相机的手机或平板扫码。",
+    "qr.scan.denied": "相机权限被拒绝。请在浏览器站点设置里允许使用相机，再重新打开此页。",
+    "qr.scan.error": "无法打开相机。请重试，或改用带相机的设备扫码。",
+    "qr.scan.howto1": "在新设备上打开“扫码登录此设备”，生成一张二维码。",
+    "qr.scan.howto2": "把那张二维码对准上方取景框，识别后会自动进入批准。",
+    "qr.scan.back": "返回",
 
     // ---- 扫码登录 · 显码页（新设备）-------------------------------------
     "qr.show.title": "扫码登录此设备",
@@ -107,20 +126,23 @@ export const zhCN = {
     "qr.show.expired": "二维码已过期。重新生成一张再扫。",
     "qr.show.denied": "这次接入被拒绝。如确为你本人操作，重新生成二维码再试。",
     "qr.show.regenerate": "重新生成二维码",
+    "qr.show.back": "返回主页",
+    "qr.show.backToName": "返回上一步",
 
     // ---- 扫码登录 · 批准页（手机）-------------------------------------
     "qr.approve.title": "批准新设备",
-    "qr.approve.subtitle": "确认让这台设备登入你的账号。请核对设备与来源无误。",
+    "qr.approve.subtitle": "确认让这台设备登录你的账号。请核对设备与来源无误。",
     "qr.approve.loading": "正在读取设备信息…",
     "qr.approve.badLink": "这个批准链接不完整。请在新设备上重新生成二维码再扫。",
     "qr.approve.signInFirst": "先登录你的账号，再批准这台设备接入。",
     "qr.approve.trustLabel": "信任时长",
-    "qr.approve.trust.title": "信任此设备",
+    "qr.approve.trust.title": "信任此设备（7 天）",
     "qr.approve.trust.hint": "7 天内免再次批准，每次使用自动续期。",
-    "qr.approve.once.title": "仅此一次",
+    "qr.approve.once.title": "仅此一次（1 小时）",
     "qr.approve.once.hint": "登录有效 1 小时，到期需重新扫码。",
-    "qr.approve.scopeGuest": "这台设备将以受限访客身份登入：可收发文件与消息，但不能更改账号、不能批准其他设备。",
-    "qr.approve.approve": "批准登入",
+    "qr.approve.scopeFull": "这台设备将完整登录你的账号、7 天内有效：可正常收发文件与消息，并能管理账号与设备。",
+    "qr.approve.scopeGuest": "以受限访客身份登录——可收发文件与消息，但不能更改账号、不能批准其他设备；1 小时后失效。",
+    "qr.approve.approve": "批准登录",
     "qr.approve.stepUp.notice": "为安全起见，批准前需先验证你的身份——点下方按钮会引导你重新登录一次。",
     "qr.approve.stepUp.button": "验证并批准",
     "qr.approve.stepUp.rejected": "身份验证未通过或已过期。请再验证一次，确认是你本人后即可批准。",
@@ -128,7 +150,7 @@ export const zhCN = {
     "qr.approve.doneApprovedTitle": "已批准",
     "qr.approve.doneApproved": "这台设备已接入你的账号，现在即可在它上面收发文件。",
     "qr.approve.doneDeniedTitle": "已拒绝",
-    "qr.approve.doneDenied": "这次接入已被拒绝，那台设备不会登入你的账号。",
+    "qr.approve.doneDenied": "这次接入已被拒绝，那台设备不会登录你的账号。",
     "qr.approve.expiredTitle": "二维码已过期",
     "qr.approve.expired": "这张二维码已失效。请在新设备上重新生成再扫。",
     "qr.approve.errorTitle": "出错了",
@@ -148,16 +170,38 @@ export const zhCN = {
     "settings.unregister.currentHint": "将退出登录并移除此设备的注册。",
     "settings.unregister.currentConfirm":
         "注销当前设备会移除此设备的注册并退出登录，确认继续？",
-    "settings.unregister.peerConfirm": "确认要移除设备“{{name}}”？",
-    "settings.peers.title": "其他设备",
-    "settings.peers.empty": "暂无其他设备。",
-    "settings.peers.remove": "移除",
-    "settings.peers.removing": "正在移除…",
     "settings.error.delete": "操作失败：{{message}}",
+
+    // ---- 受限访客标识 ----------------------------------------------------
+    "settings.guest.badge": "受限访客",
+    "settings.guest.title": "这台设备是受限访客",
+    "settings.guest.body": "本设备以受限访客身份登录：可正常收发文件、消息与剪贴板，但不能管理账号、移除设备或授权新设备。需要完整权限，请在你的主设备上重新登录。",
+
+    // ---- 登录会话 / 设备管理 ---------------------------------------------
+    "settings.sessions.title": "登录会话",
+    "settings.sessions.hint": "这里列出当前登录此账号的所有设备，含浏览器、桌面与移动客户端；在线的排在上方。登出某台设备会立即结束它的登录，需在该设备上重新登录才能继续使用。",
+    "settings.sessions.guestNote": "受限访客无法管理登录会话；如需管理，请在你的主设备上完整登录。",
+    "settings.sessions.empty": "暂无其他登录会话。",
+    "settings.sessions.loadError": "登录会话加载失败。",
+    "settings.sessions.retry": "重试",
+    "settings.sessions.current": "本机",
+    "settings.sessions.scopeFull": "完整",
+    "settings.sessions.scopeGuest": "受限访客",
+    "settings.sessions.kind.oidc": "账号登录",
+    "settings.sessions.kind.self": "本地账号",
+    "settings.sessions.kind.guest": "扫码访客",
+    "settings.sessions.lastUsed": "最近活跃 {{time}}",
+    "settings.sessions.neverUsed": "尚未活跃",
+    "settings.sessions.signOut": "登出",
+    "settings.sessions.signingOut": "正在登出…",
+    "settings.sessions.signOutCurrent": "登出本机",
+    "settings.sessions.confirmOther": "确认登出设备“{{name}}”？该会话将立即失效，需重新登录。",
+    "settings.sessions.confirmCurrent": "登出本机会等同于退出登录，确认继续？",
+    "settings.sessions.revoked": "已登出该设备",
+    "settings.sessions.stepUpRejected": "身份验证未通过或已过期，请再试一次。",
     "settings.online": "在线",
     "settings.offline": "离线",
     "settings.lastSeen": "上次活跃 {{time}}",
-    "settings.lastSeenNever": "尚未上线",
     "settings.push.title": "推送通知",
     "settings.push.hint": "页面关闭时，新文件、消息和传输结果会以系统通知提醒；页面打开时仍走应用内提示。",
     "settings.push.enable": "启用推送",