鉴权并入 Auth Broker：委派设备会话统一模型 + 四端迁移

后端（委托 Auth Broker，路径 A）：
- 删自建鉴权（OIDC exchange / 自签会话 / step-up / shortcut / web_sessions / accounts），cdrop 不再存任何凭证；鉴权中间件改读边缘注入的 X-Auth-Subject/Scope/Meta/Name/Roles 头（dev 旁路保留）；Claims 加 Tier() / Guest()
- internal/brokerclient：mint / revoke（带 X-Broker-App）/ refresh / ListSessions（R1 列举），直连内网、吊销幂等

统一会话模型“委派设备会话”（Delegated Device Sessions）：
- 每个客户端（浏览器 / 桌面 / 扫码设备）＝一条带 meta(device_id) + label 的 broker 机器会话；Broker 作设备会话唯一注册表（R1 按用户＋app 列举 + R2 按 (user,app,meta) 幂等铸造），cdrop 退化为薄覆盖层、不再自存权威会话表
- 新增代铸端点 POST /api/auth/device-session：凭边缘已验明的 X-Auth-Subject 委托 broker 铸 / 轮换设备会话（meta=device_id、按调用方 tier 防越权、sameOrigin CSRF、per-IP 限流）；R2 幂等保证同一 device_id 重登原地轮换、不堆重复设备
- 会话列表＝R1 权威 + 叠加 type（本地缓存）/ online（Hub presence，按设备名）/ current（meta 匹配本请求 X-Auth-Meta）+ 过滤 meta=""（device-authorize 引导会话残留）；devices 表降级为 type/presence 薄缓存（非会话权威），device_id 主键、upsert 按 user 限定
- 吊销按 device_id → 缓存优先 / R1 兜底解析 sid → broker 吊销 + X-Broker-App；扫码登录保留三密钥编排，collect 改委托 broker 铸 + 落缓存行

Web 前端：
- 登录走 broker 全局 SSO 代跳（/api/auth/login 302）；bootstrap 经 /api/me 注入身份后代铸设备会话（稳定 device_id 存 localStorage、Web Locks 跨 tab 串行防重复铸造）；refresh 走 /api/auth/refresh
- 设备管理按 device_id；改名＝同 device_id 重代铸（R2 原地轮换换 label、不产生重复行）；登录页反应式守卫修登录回环
- 去 OIDC PKCE / step-up（删 oauth.callback / stepUp）

桌面客户端（Wails）：
- loopback PKCE（RFC 8252）改指 broker 设备授权流（/device/authorize + /device/token）拿引导令牌，再代铸出带 meta 的托管设备会话——与浏览器同模型、同管理、同吊销；身份取自代铸响应（修“显示名显示为 UUID”）；refresh 保留显示名；稳定 device_id 入桌面配置

iOS 客户端（arch A，原生 SwiftUI + 离屏无头 WebView 引擎 + 原生↔JS 桥）：
- 引擎 / 文件管理 / 设备管理 / 应用图标 / 本地化（此前实现，随本次落入版本库）
- 鉴权＝引擎自刷（boot 注入 refresh_token）+ broker 轮换经 sessionRotated 回报原生更新 Keychain；去 cookie 同步；Session 加 refreshToken / deviceId

实时 / 健壮性：
- presence 走 Hub union（设备表行 ∪ 表外实时连接，按名去重、live-only 标在线）
- Hub 通道 close 一律在写锁内、非阻塞 send 一律在读锁内，消除 close-vs-send 闭通道 send panic（revoke 每次 Kick 后该路径变热）

配置 / 删旧栈：
- config 改 broker 接入（CDROP_BROKER_* / CDROP_PUBLIC_URL / 按档 TTL），prod 强校验 broker 配置 + PUBLIC_URL（CSRF Origin 守卫不失效）
- 删 auth.go / selftoken.go / shortcut.go / jwks.go + 三表（web_sessions / accounts / shortcut_tokens）及验证链；.env.example / compose.snippet.yaml / Caddyfile.snippet 更新为 broker 模型（人机分流 + 公开端点放行 + X-Auth-Meta 透传）
- 测试全重写：QR / 会话含 mock broker（R1 列举 + R2 幂等）；hub 加 close-vs-send 并发回归；config 加 prod 必填校验

internal/db/bootstrap_test.go

@@ -19,7 +19,7 @@ func TestBootstrapCreatesAllTables(t *testing.T) {
 		t.Fatalf("bootstrap: %v", err)
 	}
 
-	want := []string{"accounts", "clipboard_state", "devices", "login_requests", "push_subscriptions", "shortcut_tokens", "transfer_sessions", "web_sessions"}
+	want := []string{"clipboard_state", "devices", "login_requests", "push_subscriptions", "transfer_sessions"}
 	rows, err := d.Query("SELECT name FROM sqlite_master WHERE type='table' AND name NOT LIKE 'sqlite_%' ORDER BY name")
 	if err != nil {
 		t.Fatalf("query tables: %v", err)
@@ -115,10 +115,11 @@ func TestBootstrapAddsClipboardVersionToLegacyDB(t *testing.T) {
 	}
 }
 
-// Simulates the prod upgrade for scan-login: a web_sessions table created before
-// kind/scope/granted_by existed must gain them, with an existing row defaulting
-// to a normal OIDC-backed full session so its behaviour is unchanged (AUTH.md §2.2).
-func TestBootstrapAddsWebSessionColumnsToLegacyDB(t *testing.T) {
+// Simulates the prod upgrade to the Auth Broker model: a legacy devices table keyed
+// (user_id, name) must be recreated with the device_id primary key. The ephemeral
+// device rows are dropped (re-created on the next request / scan), and the migration
+// is idempotent.
+func TestBootstrapRecreatesLegacyDevices(t *testing.T) {
 	tmp := filepath.Join(t.TempDir(), "legacy.db")
 	d, err := Open(tmp)
 	if err != nil {
@@ -126,15 +127,12 @@ func TestBootstrapAddsWebSessionColumnsToLegacyDB(t *testing.T) {
 	}
 	defer d.Close()
 
-	_, err = d.Exec(`CREATE TABLE web_sessions (
-		id TEXT PRIMARY KEY, user_id TEXT NOT NULL, refresh_token TEXT NOT NULL,
-		device_name TEXT NOT NULL DEFAULT '', user_agent TEXT NOT NULL DEFAULT '',
-		created_at INTEGER NOT NULL, last_used_at INTEGER NOT NULL, expires_at INTEGER NOT NULL)`)
-	if err != nil {
+	if _, err := d.Exec(`CREATE TABLE devices (
+		user_id TEXT NOT NULL, name TEXT NOT NULL, type TEXT NOT NULL,
+		last_seen INTEGER NOT NULL, PRIMARY KEY (user_id, name))`); err != nil {
 		t.Fatalf("legacy schema: %v", err)
 	}
-	if _, err := d.Exec(`INSERT INTO web_sessions (id, user_id, refresh_token, created_at, last_used_at, expires_at)
-		VALUES ('s', 'u', 'enc', 1, 1, 9999999999)`); err != nil {
+	if _, err := d.Exec(`INSERT INTO devices (user_id, name, type, last_seen) VALUES ('u','old','browser',1)`); err != nil {
 		t.Fatalf("seed row: %v", err)
 	}
 
@@ -142,17 +140,29 @@ func TestBootstrapAddsWebSessionColumnsToLegacyDB(t *testing.T) {
 		t.Fatalf("bootstrap: %v", err)
 	}
 
-	var kind, scope, grantedBy string
-	if err := d.QueryRow(`SELECT kind, scope, granted_by FROM web_sessions WHERE id='s'`).
-		Scan(&kind, &scope, &grantedBy); err != nil {
-		t.Fatalf("select new columns (missing?): %v", err)
+	// The table now has the device_id-keyed shape (this insert would fail otherwise).
+	if _, err := d.Exec(`INSERT INTO devices (device_id, user_id, name, type, tier, broker_sid, created_at, last_seen)
+		VALUES ('dev_1','u','New','browser','full','sid',1,1)`); err != nil {
+		t.Fatalf("new schema insert (device_id missing?): %v", err)
 	}
-	if kind != "oidc" || scope != "full" || grantedBy != "" {
-		t.Errorf("legacy row defaults: got kind=%q scope=%q granted_by=%q, want oidc/full/empty",
-			kind, scope, grantedBy)
+	// The legacy row was dropped with the table.
+	var legacy int
+	if err := d.QueryRow(`SELECT COUNT(*) FROM devices WHERE name='old'`).Scan(&legacy); err != nil {
+		t.Fatalf("count legacy: %v", err)
 	}
-	// Idempotent: second bootstrap must not error on already-present columns.
+	if legacy != 0 {
+		t.Errorf("legacy device row should be dropped on recreate; got %d", legacy)
+	}
+
+	// Idempotent: a second bootstrap leaves the new shape and its rows intact.
 	if err := Bootstrap(context.Background(), d); err != nil {
 		t.Fatalf("second bootstrap: %v", err)
 	}
+	var kept int
+	if err := d.QueryRow(`SELECT COUNT(*) FROM devices WHERE device_id='dev_1'`).Scan(&kept); err != nil {
+		t.Fatalf("count after second bootstrap: %v", err)
+	}
+	if kept != 1 {
+		t.Errorf("device row should survive idempotent bootstrap; got %d", kept)
+	}
 }