鉴权并入 Auth Broker：委派设备会话统一模型 + 四端迁移

后端（委托 Auth Broker，路径 A）：
- 删自建鉴权（OIDC exchange / 自签会话 / step-up / shortcut / web_sessions / accounts），cdrop 不再存任何凭证；鉴权中间件改读边缘注入的 X-Auth-Subject/Scope/Meta/Name/Roles 头（dev 旁路保留）；Claims 加 Tier() / Guest()
- internal/brokerclient：mint / revoke（带 X-Broker-App）/ refresh / ListSessions（R1 列举），直连内网、吊销幂等

统一会话模型“委派设备会话”（Delegated Device Sessions）：
- 每个客户端（浏览器 / 桌面 / 扫码设备）＝一条带 meta(device_id) + label 的 broker 机器会话；Broker 作设备会话唯一注册表（R1 按用户＋app 列举 + R2 按 (user,app,meta) 幂等铸造），cdrop 退化为薄覆盖层、不再自存权威会话表
- 新增代铸端点 POST /api/auth/device-session：凭边缘已验明的 X-Auth-Subject 委托 broker 铸 / 轮换设备会话（meta=device_id、按调用方 tier 防越权、sameOrigin CSRF、per-IP 限流）；R2 幂等保证同一 device_id 重登原地轮换、不堆重复设备
- 会话列表＝R1 权威 + 叠加 type（本地缓存）/ online（Hub presence，按设备名）/ current（meta 匹配本请求 X-Auth-Meta）+ 过滤 meta=""（device-authorize 引导会话残留）；devices 表降级为 type/presence 薄缓存（非会话权威），device_id 主键、upsert 按 user 限定
- 吊销按 device_id → 缓存优先 / R1 兜底解析 sid → broker 吊销 + X-Broker-App；扫码登录保留三密钥编排，collect 改委托 broker 铸 + 落缓存行

Web 前端：
- 登录走 broker 全局 SSO 代跳（/api/auth/login 302）；bootstrap 经 /api/me 注入身份后代铸设备会话（稳定 device_id 存 localStorage、Web Locks 跨 tab 串行防重复铸造）；refresh 走 /api/auth/refresh
- 设备管理按 device_id；改名＝同 device_id 重代铸（R2 原地轮换换 label、不产生重复行）；登录页反应式守卫修登录回环
- 去 OIDC PKCE / step-up（删 oauth.callback / stepUp）

桌面客户端（Wails）：
- loopback PKCE（RFC 8252）改指 broker 设备授权流（/device/authorize + /device/token）拿引导令牌，再代铸出带 meta 的托管设备会话——与浏览器同模型、同管理、同吊销；身份取自代铸响应（修“显示名显示为 UUID”）；refresh 保留显示名；稳定 device_id 入桌面配置

iOS 客户端（arch A，原生 SwiftUI + 离屏无头 WebView 引擎 + 原生↔JS 桥）：
- 引擎 / 文件管理 / 设备管理 / 应用图标 / 本地化（此前实现，随本次落入版本库）
- 鉴权＝引擎自刷（boot 注入 refresh_token）+ broker 轮换经 sessionRotated 回报原生更新 Keychain；去 cookie 同步；Session 加 refreshToken / deviceId

实时 / 健壮性：
- presence 走 Hub union（设备表行 ∪ 表外实时连接，按名去重、live-only 标在线）
- Hub 通道 close 一律在写锁内、非阻塞 send 一律在读锁内，消除 close-vs-send 闭通道 send panic（revoke 每次 Kick 后该路径变热）

配置 / 删旧栈：
- config 改 broker 接入（CDROP_BROKER_* / CDROP_PUBLIC_URL / 按档 TTL），prod 强校验 broker 配置 + PUBLIC_URL（CSRF Origin 守卫不失效）
- 删 auth.go / selftoken.go / shortcut.go / jwks.go + 三表（web_sessions / accounts / shortcut_tokens）及验证链；.env.example / compose.snippet.yaml / Caddyfile.snippet 更新为 broker 模型（人机分流 + 公开端点放行 + X-Auth-Meta 透传）
- 测试全重写：QR / 会话含 mock broker（R1 列举 + R2 幂等）；hub 加 close-vs-send 并发回归；config 加 prod 必填校验

web/src/i18n/locales/zh-CN.ts

@@ -142,6 +142,8 @@ export const zhCN = {
     "qr.approve.once.hint": "登录有效 1 小时，到期需重新扫码。",
     "qr.approve.scopeFull": "这台设备将完整登录你的账号、7 天内有效：可正常收发文件与消息，并能管理账号与设备。",
     "qr.approve.scopeGuest": "以受限访客身份登录——可收发文件与消息，但不能更改账号、不能批准其他设备；1 小时后失效。",
+    "qr.approve.nativeFull": "这是一台原生应用设备，将以完整权限登录（信任此设备、7 天内有效）。原生应用不支持受限访客。",
+    "qr.approve.trustContinue": "信任并继续",
     "qr.approve.approve": "批准登录",
     "qr.approve.stepUp.notice": "为安全起见，批准前需先验证你的身份——点下方按钮会引导你重新登录一次。",
     "qr.approve.stepUp.button": "验证并批准",
@@ -339,4 +341,68 @@ export const zhCN = {
     "errors.clipboardUnavailable": "浏览器不支持剪贴板API（需HTTPS与权限）",
     "errors.clipboardOverflow": "内容过大，超过 {{max}} 字节上限",
     "errors.clipboardWriteFailed": "写入本机剪贴板失败：{{message}}",
+
+    // ---- iOS 客户端 ------------------------------------------------------
+    "ios.tab.transfer": "传输",
+    "ios.tab.devices": "设备",
+    "ios.tab.settings": "设置",
+    "ios.login.generating": "正在生成二维码…",
+    "ios.login.waiting": "等待扫码批准",
+    "ios.login.guide": "用另一台已登录的设备扫码批准",
+    "ios.login.expired": "二维码已失效，请重试",
+    "ios.login.failed": "登录失败，请重试",
+    "ios.login.refresh": "刷新二维码",
+    "ios.login.needFull": "此设备需要完整权限，批准时请选择“信任此设备”",
+    "ios.send.pickDevice": "选择接收设备",
+    "ios.transfer.sending": "发送中",
+    "ios.settings.engine": "引擎",
+    "ios.settings.status": "状态",
+    "ios.settings.device": "设备",
+    "ios.settings.clipboard": "剪贴板",
+    "ios.settings.clipboardNote": "上传把本机剪贴板推到其他设备；拉取写入最新云剪贴板。",
+    "ios.clipboard.upload": "上传剪贴板",
+    "ios.clipboard.pull": "拉取剪贴板",
+    "ios.clipboard.uploading": "正在上传…",
+    "ios.clipboard.pulling": "正在拉取…",
+    "ios.clipboard.uploaded": "已上传到云剪贴板",
+    "ios.clipboard.pulled": "已写入本机剪贴板",
+    "ios.clipboard.empty": "剪贴板为空",
+    "ios.clipboard.failed": "剪贴板同步失败",
+    "ios.devices.remove": "移除设备",
+    "ios.devices.thisDevice": "本机",
+    "ios.devices.revoked": "已移除设备",
+    "ios.devices.revokeFailed": "移除失败",
+    "ios.devices.revokeStepUp": "需在网页端重新验证后才能移除",
+    "ios.engine.disconnected": "未连接",
+    "ios.engine.ready": "已就绪",
+    "ios.transfer.empty": "暂无传输",
+    "ios.transfer.incoming": "接收",
+    "ios.transfer.outgoing": "发送",
+    "ios.send.noDevices": "没有在线设备，无法发送",
+    "ios.devices.empty": "暂无设备",
+    "ios.detail.title": "传输详情",
+    "ios.detail.direction": "方向",
+    "ios.detail.peer": "对端",
+    "ios.detail.state": "状态",
+    "ios.detail.phase": "阶段",
+    "ios.detail.channel": "通道",
+    "ios.detail.size": "大小",
+    "ios.detail.progress": "进度",
+    "ios.detail.speed": "速度",
+    "ios.settings.account": "账户",
+    "ios.settings.user": "用户",
+    "ios.settings.logout": "退出登录",
+    "ios.settings.deviceName": "设备名称",
+    "ios.settings.deviceNameNote": "改名将在下次登录后生效",
+    "ios.settings.deviceCount": "已知设备",
+    "ios.settings.signaling": "信令连接",
+    "ios.settings.presenceEvents": "在线事件",
+    "ios.settings.reconnecting": "重连中",
+    "ios.settings.lastLog": "最近日志",
+    "ios.tab.files": "文件",
+    "ios.files.title": "收到的文件",
+    "ios.files.empty": "还没有收到文件",
+    "ios.files.share": "分享",
+    "ios.files.done": "完成",
+    "ios.detail.openFile": "打开文件",
 } as const;