fix(oidc): 同步认证中心用户资料到本地用户

从已验证的 OIDC Claim 提取用户名、显示名称、邮箱、手机号和头像，并覆盖单租户、多租户及平台用户的 JIT 创建与重复登录同步。\n\n保留 metadata.manualProfile 标记下的人工资料，限制字段长度且仅接收已验证联系方式与 HTTPS 头像。已通过 auth、httpapi、store 测试及临时 PostgreSQL 集成验证。

apps/api/internal/auth/auth.go

@@ -36,6 +36,10 @@ const (
 type User struct {
 	ID                string    `json:"sub"`
 	Username          string    `json:"username"`
+	DisplayName       string    `json:"-"`
+	Email             string    `json:"-"`
+	Phone             string    `json:"-"`
+	AvatarURL         string    `json:"-"`
 	Roles             []string  `json:"role,omitempty"`
 	ContextType       string    `json:"contextType,omitempty"`
 	TenantID          string    `json:"tenantId,omitempty"`