扫码登录：cdrop 自签会话原语 + 薄账户层 + 受限访客 + 2FA step-up

身份仍源自 OAuth provider（user_id = OIDC sub），cdrop 在其上自维护一薄层：
自签会话令牌 + accounts 表，并新增扫码快速登录。实施蓝本见 AUTH.md。

后端 · 自签会话原语
- web_sessions 加 kind/scope/granted_by 列（bootstrap 幂等迁移）；既有 oidc
  会话行为不变，新增 self（滑动续期）/ guest（受限·不续）两类
- cdrop 自签 HS256 会话 access token，密钥派生自 SESSION_SECRET，与落盘 AES、
  shortcut HS256 三密钥域隔离；jwtauth.verifySelfToken 无状态校验、靠 typ 区分
- requireFullSession 守卫：guest 会话不得改账号 / 再批准设备 / 签长效 token
- /auth/refresh 按 kind 分流：self/guest 纯自签、不触 IdP

后端 · 扫码登录（internal/httpapi/qr.go）
- qr/start・status・request・approve・deny 五端点 + login_requests 表 + reaper
- 三密钥分离：QR 仅含批准信息，会话只投递给持私有 poll_secret 的原设备
  （偷拍 QR 者无 poll_secret 领不到会话、未登录批不了准）
- 会话在新设备侧领取（cookie 不经手机）、单次消费、短 TTL

后端 · 薄账户层与 2FA step-up
- accounts 表（键 sub，不含任何凭证）：exchange/refresh upsert match_key /
  显示名 / 头像 / roles，供显示与未来管理员开启迁移标记时跨源关联
- step-up（默认关）：开启后 qr/approve 要求新鲜 prompt=login 授权码，后端就地
  换 id_token、JWKS 验签 + auth_time 窗口 + sub 匹配，provider 2FA 于此往返强制

前端（web/）
- 显码页 /link/new + 批准页 /link + net/qr.ts，对齐 Theme B、复用 AuthShell
  与聚珍排版管线、零新全局样式
- step-up 再认证流：批准前跑 prompt=login PKCE，回调分叉（不消费一次性 code、
  独立 state key）后带 step_up_code/verifier 调 approve
- 三语 i18n qr.*；新增 qrcode 依赖

修复 · clipboard sweeper（早已提交的损坏）
- ClearExpiredClipboards 因 clipboard.sql 全角注释触发 sqlc 1.31 多字节偏移
  bug，生成 SQL 被截断为「UPDATE clipboard_state SET content =」，sweeper 运行
  期报「incomplete input」、过期剪贴板内容从未清除（短 TTL 暴露保护失效）
- 注释改纯 ASCII 并加 bug 警告，重生成得完整 SQL；prod 已验证 sweeper 由 ERROR
  转为正常清理（cleared count=1）

构建
- .dockerignore：排除本地 node_modules 等，避免宿主原生二进制污染镜像内 vite 构建
- Dockerfile.base：GOPROXY 改为可经 --build-arg 覆盖（默认仍官方代理，受限网络
  构建时传区域镜像即可，仓库不固化区域值）

文档
- 新增 AUTH.md（账户与登录实施蓝本）；README 特性；.env.example /
  compose.snippet 增配置项（QR / 自签会话 TTL / step-up / match_claim）

测试
- 自签 token 密钥域隔离、扫码端到端（领取 / 单次 / poll_secret 校验 / deny /
  step-up 门）、extractIdentity、web_sessions 升级迁移

internal/httpapi/server.go

@@ -44,6 +44,11 @@ type Server struct {
 	sessionKey []byte
 	siteOrigin string
 
+	// sessionTokenKey signs cdrop's self-signed session access tokens (scan-login;
+	// AUTH.md §3.1), derived from SessionSecret in a separate domain from sessionKey.
+	// nil when SessionSecret is unset → minting is unavailable (QR stays off).
+	sessionTokenKey []byte
+
 	// refreshLocks serialise concurrent refreshes of the same web session (all of
 	// a user's browser tabs share one cookie → one refresh_token). Striped so the
 	// lock set stays bounded; collisions just serialise unrelated sessions, which
@@ -77,8 +82,9 @@ func New(
 		push:      pushSender,
 		mux:       chi.NewRouter(),
 
-		sessionKey: deriveSessionKey(cfg.SessionSecret),
-		siteOrigin: deriveSiteOrigin(cfg.OIDCRedirectURI),
+		sessionKey:      deriveSessionKey(cfg.SessionSecret),
+		siteOrigin:      deriveSiteOrigin(cfg.OIDCRedirectURI),
+		sessionTokenKey: jwtauth.DeriveSessionTokenKey(cfg.SessionSecret),
 	}
 	s.routes()
 	return s
@@ -114,6 +120,11 @@ func (s *Server) routes() {
 			// this browser's name into the session for PWA-eviction recovery.
 			r.Post("/auth/logout", s.handleAuthLogout)
 			r.Post("/auth/device", s.handleAuthDevice)
+			// Scan-login: the new device opens a request and long-polls status.
+			// Public (no bearer — the device isn't logged in yet); the private
+			// poll_secret in the X-Poll-Secret header is the only credential.
+			r.Post("/auth/qr/start", s.handleQRStart)
+			r.Get("/auth/qr/status", s.handleQRStatus)
 		})
 
 		// Protected routes. gzip / compress is intentionally NOT mounted —
@@ -144,14 +155,29 @@ func (s *Server) routes() {
 				r.Post("/hub/signal", s.handleSignal)
 				r.Post("/message", s.handleMessage)
 				r.Get("/devices", s.handleDevices)
-				r.Delete("/devices/{name}", s.handleDeleteDevice)
 				r.Get("/push/vapid-key", s.handlePushVAPIDKey)
 				r.Post("/push/subscribe", s.handlePushSubscribe)
 				r.Delete("/push/subscribe", s.handlePushUnsubscribe)
 				r.Get("/calls/credentials", s.handleCallsCredentials)
-				r.Post("/shortcut/issue", s.handleShortcutIssue)
-				r.Get("/shortcut", s.handleShortcutList)
-				r.Delete("/shortcut/{jti}", s.handleShortcutRevoke)
+
+				// Account-management surface: restricted guest (scan-login borrow)
+				// sessions are rejected here too — they can transfer files but not
+				// remove devices, nor mint / list / revoke long-lived shortcut
+				// tokens. Full / OIDC / dev sessions pass (AUTH.md §3.2).
+				r.Group(func(r chi.Router) {
+					r.Use(requireFullSession)
+					r.Delete("/devices/{name}", s.handleDeleteDevice)
+					r.Post("/shortcut/issue", s.handleShortcutIssue)
+					r.Get("/shortcut", s.handleShortcutList)
+					r.Delete("/shortcut/{jti}", s.handleShortcutRevoke)
+					// Scan-login approval side: the logged-in approver views and
+					// authorises the new device. Guest sessions can't reach here, so a
+					// borrowed device can't approve further devices.
+					r.Get("/auth/qr/request", s.handleQRRequest)
+					r.Post("/auth/qr/approve", s.handleQRApprove)
+					r.Post("/auth/qr/deny", s.handleQRDeny)
+				})
+
 				r.Route("/transfer", func(r chi.Router) {
 					r.Post("/initiate", s.handleTransferInit)
 					r.Post("/{id}/accept", s.transitionHandler(transfer.StateAccepted, ""))