扫码登录：cdrop 自签会话原语 + 薄账户层 + 受限访客 + 2FA step-up

身份仍源自 OAuth provider（user_id = OIDC sub），cdrop 在其上自维护一薄层：
自签会话令牌 + accounts 表，并新增扫码快速登录。实施蓝本见 AUTH.md。

后端 · 自签会话原语
- web_sessions 加 kind/scope/granted_by 列（bootstrap 幂等迁移）；既有 oidc
  会话行为不变，新增 self（滑动续期）/ guest（受限·不续）两类
- cdrop 自签 HS256 会话 access token，密钥派生自 SESSION_SECRET，与落盘 AES、
  shortcut HS256 三密钥域隔离；jwtauth.verifySelfToken 无状态校验、靠 typ 区分
- requireFullSession 守卫：guest 会话不得改账号 / 再批准设备 / 签长效 token
- /auth/refresh 按 kind 分流：self/guest 纯自签、不触 IdP

后端 · 扫码登录（internal/httpapi/qr.go）
- qr/start・status・request・approve・deny 五端点 + login_requests 表 + reaper
- 三密钥分离：QR 仅含批准信息，会话只投递给持私有 poll_secret 的原设备
  （偷拍 QR 者无 poll_secret 领不到会话、未登录批不了准）
- 会话在新设备侧领取（cookie 不经手机）、单次消费、短 TTL

后端 · 薄账户层与 2FA step-up
- accounts 表（键 sub，不含任何凭证）：exchange/refresh upsert match_key /
  显示名 / 头像 / roles，供显示与未来管理员开启迁移标记时跨源关联
- step-up（默认关）：开启后 qr/approve 要求新鲜 prompt=login 授权码，后端就地
  换 id_token、JWKS 验签 + auth_time 窗口 + sub 匹配，provider 2FA 于此往返强制

前端（web/）
- 显码页 /link/new + 批准页 /link + net/qr.ts，对齐 Theme B、复用 AuthShell
  与聚珍排版管线、零新全局样式
- step-up 再认证流：批准前跑 prompt=login PKCE，回调分叉（不消费一次性 code、
  独立 state key）后带 step_up_code/verifier 调 approve
- 三语 i18n qr.*；新增 qrcode 依赖

修复 · clipboard sweeper（早已提交的损坏）
- ClearExpiredClipboards 因 clipboard.sql 全角注释触发 sqlc 1.31 多字节偏移
  bug，生成 SQL 被截断为「UPDATE clipboard_state SET content =」，sweeper 运行
  期报「incomplete input」、过期剪贴板内容从未清除（短 TTL 暴露保护失效）
- 注释改纯 ASCII 并加 bug 警告，重生成得完整 SQL；prod 已验证 sweeper 由 ERROR
  转为正常清理（cleared count=1）

构建
- .dockerignore：排除本地 node_modules 等，避免宿主原生二进制污染镜像内 vite 构建
- Dockerfile.base：GOPROXY 改为可经 --build-arg 覆盖（默认仍官方代理，受限网络
  构建时传区域镜像即可，仓库不固化区域值）

文档
- 新增 AUTH.md（账户与登录实施蓝本）；README 特性；.env.example /
  compose.snippet 增配置项（QR / 自签会话 TTL / step-up / match_claim）

测试
- 自签 token 密钥域隔离、扫码端到端（领取 / 单次 / poll_secret 校验 / deny /
  step-up 门）、extractIdentity、web_sessions 升级迁移

web/src/features/qr/stepUp.ts

@@ -0,0 +1,98 @@
+// 批准页 step-up 再认证的会话级暂存。step_up 开启时，批准方在批准新设备前必须做
+// 一次新鲜的 prompt=login 再登录（provider 若开了 2FA 即在此处过），把这次拿到的
+// 授权码交给后端就地核验。这段往返跨一次整页跳转（→ provider → /oauth/callback →
+// 批准页），故用 sessionStorage 串起三个状态：
+//
+//   1. 跳转去 provider 前：记下「待办」标记 + 这次的 code_verifier + 要回到的批准页
+//      URL（PENDING）。
+//   2. /oauth/callback 落地（检测到 PENDING）：不调 /api/auth/exchange（那会在服务端
+//      消费掉 code 并轮换会话），转而把本次回调的 {code, verifier} 暂存进 STASH，
+//      清掉 PENDING，整页跳回批准页 URL。
+//   3. 批准页回到后：取出 STASH 的 {code, verifier} → 调 qrApprove 就地核验 → 用完即清。
+//
+// sessionStorage（非 localStorage）：仅本次再认证往返需要，关标签即清、不跨设备；
+// code 是一次性的且与本批准会话强绑定，落 localStorage 反而徒增泄漏面。
+
+const PENDING_KEY = "cdrop.qr.stepup_pending";   // { verifier, returnTo }
+const STASH_KEY   = "cdrop.qr.stepup_stash";     // { code, verifier }
+
+// 仅允许站内 /link 路径回流，杜绝 open-redirect（外部 URL / 协议相对地址）。
+// 与 returnTo.ts 同口径——step-up 往返回来后的整页跳转目标只能是批准页。
+function isSafeLinkPath(path: string): boolean
+{
+    return path.startsWith("/link?") || path === "/link";
+}
+
+export interface StepUpPending
+{
+    verifier: string;
+    returnTo: string;
+}
+
+export interface StepUpStash
+{
+    code: string;
+    verifier: string;
+}
+
+// stashStepUpPending 在跳转去 provider 前记下「待办」。returnTo 非法（防开放重定向）
+// 即不写——调用方据返回值判定是否安全发起跳转。
+export function stashStepUpPending(pending: StepUpPending): boolean
+{
+    if (typeof window === "undefined") { return false; }
+    if (!pending.verifier || !isSafeLinkPath(pending.returnTo)) { return false; }
+    window.sessionStorage.setItem(PENDING_KEY, JSON.stringify(pending));
+    return true;
+}
+
+// peekStepUpPending 只读地探测是否在 step-up 往返中（/oauth/callback 据此分叉，
+// 决定不走 /api/auth/exchange）。不消费。
+export function peekStepUpPending(): StepUpPending | null
+{
+    if (typeof window === "undefined") { return null; }
+    const raw = window.sessionStorage.getItem(PENDING_KEY);
+    if (!raw) { return null; }
+    const p = safeParse<StepUpPending>(raw);
+    if (!p?.verifier || !isSafeLinkPath(p.returnTo)) { return null; }
+    return p;
+}
+
+export function clearStepUpPending(): void
+{
+    if (typeof window === "undefined") { return; }
+    window.sessionStorage.removeItem(PENDING_KEY);
+}
+
+// stashStepUpCode 把回调拿到的一次性 code + 配套 verifier 暂存，留给批准页交给
+// 后端 approve 核验。前端绝不自己 POST /exchange 消费它。
+export function stashStepUpCode(stash: StepUpStash): void
+{
+    if (typeof window === "undefined") { return; }
+    if (!stash.code || !stash.verifier) { return; }
+    window.sessionStorage.setItem(STASH_KEY, JSON.stringify(stash));
+}
+
+// consumeStepUpCode 取出并清除暂存的 {code, verifier}（一次性，用完即清，避免泄漏
+// 与复用）。无 / 非法返回 null。
+export function consumeStepUpCode(): StepUpStash | null
+{
+    if (typeof window === "undefined") { return null; }
+    const raw = window.sessionStorage.getItem(STASH_KEY);
+    window.sessionStorage.removeItem(STASH_KEY);
+    if (!raw) { return null; }
+    const s = safeParse<StepUpStash>(raw);
+    if (!s?.code || !s.verifier) { return null; }
+    return s;
+}
+
+export function clearStepUpStash(): void
+{
+    if (typeof window === "undefined") { return; }
+    window.sessionStorage.removeItem(STASH_KEY);
+}
+
+function safeParse<T>(raw: string): T | null
+{
+    try { return JSON.parse(raw) as T; }
+    catch { return null; }
+}