登录子系统：OIDC 统一自签 token + 吊销即时生效 + 设备并入会话列表 + 应用内扫码 + 禁则修复

接续 90a3790（扫码 A0+A1+B + step-up 雏形）。蓝本见 AUTH.md。

OIDC 统一到 cdrop 自签 token
- /auth/exchange 先 JWKS 验 id_token 签名（自签 token 的唯一信任锚）再签 cdrop
  自签 HS256 access token（绑 sid），不再把 IdP RS256 下发浏览器；验签失败仅告警
  并回退 RS256（会话仍建、下次 refresh 自愈），登录不中断
- /auth/refresh oidc 路径仍打 IdP 轮换 refresh_token + 探测 IdP 侧吊销，但同样回
  自签 token；createWebSession 改返回行 id
- verify 链保留 RS256 分支仅供桌面端 loopback（其即时吊销留后续）

吊销即时生效 + 被吊销设备自知回退
- verifySelfToken 每请求按 sid 查 web_sessions 行，行删即拒 → 吊销在被吊销设备
  下一次请求即生效（不等 TTL），oidc / self / guest 一致
- 前端仅在「服务端以 401 确证会话失效」时 forceLogout 清登录态、回登录页；短期连接
  失败（5xx / 网络）一律保留登录态（refreshTokens 改三态 refreshed/invalid/transient，
  cookieRefresh 改 discriminated 结果）
- __root 反应式守卫：prod 下失登录态且非认证路由即跳登录页；新增 auth.sessionLost.* 三语

设备列表并入会话列表 + 孤儿自动清除
- GET /api/auth/sessions 统一 web_sessions 与原生客户端设备（桌面 / iOS，自 devices
  登记表呈现，native=true，离线也列）；同名不重复列出，排除 shortcut 与无会话 browser
- 吊销网页会话连带删其设备登记（无同名在用会话时）；原生「登出」走
  DELETE /api/devices/{name}（同要求 step-up）
- 新增 DeleteOrphanBrowserDevices（browser 型且无存活 web_session），接入设备清扫器（1h）

应用内扫码 + 聚珍崩溃 / CJK 禁则修复
- 登录页内置 getUserMedia + jsqr 扫码，不再外跳系统应用（避免开错浏览器）
- 修聚珍（cjk-autospace）MutationObserver 与 React 重渲染同子树冲突致的 insertBefore
  崩溃：扫码 / 显码 / 批准三状态机页整页跳过聚珍（data-jz-skip）
- 修流动正文未跑 CJK 禁则（jinze 为段落级、须 opt-in）：设置 / 快捷指令 / 桌面页一批
  hint 补 data-jz-level="paragraph" + justify，短标签 / 状态仍留文本级

step-up 完善
- auth_time 改可选（Casdoor 不下发，原强制致死循环）；stepped_up_at 按会话绑定、
  StepUpMaxAgeSeconds 窗口内不复要求；新增 POST /api/auth/stepup
- 批准页 persist 编进 step-up returnTo 防整页跳转丢失；scope 随档绑定（信任=full /
  仅此次=guest），默认偏安全的「仅此次」

文档与测试
- AUTH.md：折中架构、accounts 薄表、令牌架构、扫码流程、step-up、§4.4 统一会话列表
- 新增 Go 测试：OIDC 自签验证、verifySelfToken 吊销即拒、会话吊销连带删设备、
  统一会话列表（含原生 / 不含 shortcut / 不重复）、孤儿清扫、删设备需 step-up

web/src/routes/link_.new.tsx

@@ -1,5 +1,5 @@
 import { createFileRoute, useNavigate } from "@tanstack/react-router";
-import { AlertTriangle, ArrowRight, RefreshCw, ScanLine } from "lucide-react";
+import { AlertTriangle, ArrowLeft, ArrowRight, RefreshCw, ScanLine } from "lucide-react";
 import { useCallback, useEffect, useRef, useState } from "react";
 import { AuthShell } from "../features/auth/AuthShell";
 import { syncWebDeviceName } from "../features/auth/auth";
@@ -109,6 +109,16 @@ function LinkNewPage()
         void begin(name.trim());
     };
 
+    // 回上一步：弃掉当前二维码会话，退回命名步骤（轮询随 session 清空由 effect 清理）。
+    const handleBackToName = () =>
+    {
+        cancelPollRef.current?.();
+        cancelPollRef.current = null;
+        setSession(null);
+        setError(null);
+        setStep("name");
+    };
+
     if (step === "name")
     {
         return (
@@ -116,6 +126,7 @@ function LinkNewPage()
                 title={t("qr.show.title")}
                 subtitle={t("qr.show.subtitle")}
                 hideBrand
+                skipAutospace
             >
                 {error && (
                     <Callout tone="error" icon={<AlertTriangle size={16} />}>{error}</Callout>
@@ -146,12 +157,21 @@ function LinkNewPage()
                 >
                     {t("qr.show.generate")}
                 </Button>
+                <Button
+                    variant="ghost"
+                    size="lg"
+                    block
+                    leftIcon={<ArrowLeft size={16} />}
+                    onClick={() => navigate({ to: "/" })}
+                >
+                    {t("qr.show.back")}
+                </Button>
             </AuthShell>
         );
     }
 
     return (
-        <AuthShell title={t("qr.show.scanTitle")} hideBrand>
+        <AuthShell title={t("qr.show.scanTitle")} hideBrand skipAutospace>
             {error && (
                 <Callout tone="error" icon={<AlertTriangle size={16} />}>{error}</Callout>
             )}
@@ -189,6 +209,19 @@ function LinkNewPage()
                     {t("qr.show.regenerate")}
                 </Button>
             )}
+
+            {/* 始终给一个明确退出口：回到命名步骤，避免卡在显码 / 终态页。 */}
+            {phase !== "approved" && (
+                <Button
+                    variant="ghost"
+                    size="lg"
+                    block
+                    leftIcon={<ArrowLeft size={16} />}
+                    onClick={handleBackToName}
+                >
+                    {t("qr.show.backToName")}
+                </Button>
+            )}
         </AuthShell>
     );
 }