这是中心认证服务。子应用请引入 /auth-sdk.js 并调用 AuthCenter.init()。
/auth-sdk.js
AuthCenter.init()
登录采用 OAuth 2.0 授权码流程 + PKCE：回跳只携带一次性授权码，长期令牌由子应用用 POST /api/token 换取，不出现在任何 URL 中。
POST /api/token
管理后台：/admin