fix: 修复 OIDC 用户预配与跨标签页登录态

增加受控 JIT 本地用户投影，并使用 HttpOnly Cookie 在新标签页恢复认证中心登录态。补充错误语义、安全校验、自动化测试与回滚配置。

apps/api/internal/httpapi/gemini_compat.go

@@ -45,7 +45,7 @@ var geminiGenerateContentRoutePrefixes = []string{
 }
 
 func (s *Server) registerGeminiGenerateContentRoutes(mux *http.ServeMux) {
-	handler := s.auth.Require(auth.PermissionBasic, http.HandlerFunc(s.geminiGenerateContent))
+	handler := s.requireUser(auth.PermissionBasic, http.HandlerFunc(s.geminiGenerateContent))
 	for _, prefix := range geminiGenerateContentRoutePrefixes {
 		mux.Handle("POST "+prefix, geminiGenerateContentRouteHandler(prefix, handler))
 	}