支持本地密码、OIDC 与 Passkey；生产仍需真实身份提供方与硬件认证器验证。
账号由部署环境中的 users / memberships 数据决定；演示环境可使用 api-smoke 播种的 reviewer 账号。
填写租户 slug 后可使用已配置的 OIDC / Passkey 登录。
登录失败不会透露账号是否存在。本地登录有 5 次/15 分钟限流；OIDC 需要部署环境配置 issuer/client；Passkey 需要 HTTPS/localhost 与已注册认证器。
先以 MOCK 演示继续