Identity Gateway
让浏览器控制面与 API 使用同一个 actor、tenant 和权限集合，并用短时 HttpOnly 会话替代浏览器持久保存 API Token。
凭证只在当前表单提交期间短暂存在，并发送给同源服务端，随后交换为签名、HttpOnly、SameSite=Strict 的短时会话 Cookie；不会写入任何浏览器持久存储。
OIDC 尚未配置，可先用 API actor 凭证建立会话。
