feat: 将 Gateway Web 迁移到 BFF 会话

浏览器只通过 HttpOnly Cookie 恢复统一认证状态，不再访问认证中心 Token Endpoint 或保存 OIDC Token。同步更新错误提示、部署配置和接入文档。

README.md

@@ -46,11 +46,15 @@ OIDC_JIT_PROVISIONING_ENABLED=true
 OIDC_GATEWAY_TENANT_KEY=default
 OIDC_BROWSER_SESSION_ENABLED=true
 OIDC_SESSION_COOKIE_SECURE=false # 本地 HTTP；生产必须为 true
+OIDC_CLIENT_ID=<公共 Client ID>
+OIDC_REDIRECT_URI=http://localhost:8088/api/v1/auth/oidc/callback
+OIDC_POST_LOGOUT_REDIRECT_URI=http://localhost:5178/
+OIDC_SESSION_ENCRYPTION_KEY=<base64 编码的独立 32 字节随机密钥>
 ```
 
 `OIDC_GATEWAY_TENANT_KEY` 必须指向已有且启用的 Gateway 租户及其默认用户组；JIT 不会从 Token 自动创建租户。开关默认关闭，关闭后不再创建新用户，但仍可解析此前创建的 `source=oidc` 映射。
 
-Web Console 默认把已验证的 Auth Center Access Token 转入 `HttpOnly + SameSite=Strict` Cookie，随后清除浏览器 `localStorage/sessionStorage` 中的 OIDC Access Token。Cookie 在同域标签页之间共享且有效期不超过原 Access Token；Gateway 不会二次签发 JWT。Staging、生产及其他非本地环境必须启用 Secure Cookie，并配置明确的 `CORS_ALLOWED_ORIGIN`，禁止 `*`。完整行为、错误码和回滚方式见 [OIDC JIT 接入说明](docs/oidc-jit-provisioning.md)。
+Web Console 使用公共 Client + PKCE + Gateway BFF Session：Gateway 服务端换码并加密保存 Access/Refresh/ID Token，浏览器 JavaScript 只持有不可读的 HttpOnly 随机 Session Cookie。Access Token 仍为 5 分钟并由业务请求按需刷新；Session 闲置 30 分钟、最长 8 小时。Gateway 不使用 Client Secret，也不二次签发 JWT。完整行为、错误码和回滚方式见 [OIDC JIT 接入说明](docs/oidc-jit-provisioning.md)。
 
 `pnpm dev` 会先创建数据库并执行 migration，然后并行启动：