feat(auth): 添加 M0A.5a 正式认证基础

[wangjk9527]

Summary

• 落地 M0A.5a 正式 password 认证基础（注册策略、公开 URL / Cookie Secure 对齐、GET /api/v1/auth/status、登录防枚举、Web/TUI 会话 TTL、可恢复 CSRF 轮换）。
• 共享 createAuthenticatedTestClient()；核心 HTTP smoke/seed 迁到 password 模式；CI core-smoke-tests 跑 test:auth-foundation。
• HITL 事件桥：ask_user / submit_plan 在合成 RUN_FINISHED 前补齐 TOOL_CALL_END。
• 基于已合入 feat(部署): Ubuntu/Debian 原生一键部署（DataLink 外置） #87 的 main：本 PR 含认证能力，并保留对 scripts/deploy / .env.example 的 AUTH_REGISTRATION_MODE 配套小补丁，保证 password 模式与 Native Deploy Smoke。「不叠」仅指不把过期整支部署分支的 commit 叠进来，不是禁止基于 feat(部署): Ubuntu/Debian 原生一键部署（DataLink 外置） #87，也不是去掉对 deploy 脚本的依赖。
• 修复畸形 Cookie percent-encoding 导致 password 模式 API 500 的问题（测试锁住）。

不在范围：M0A.5b（TUI 登录）、M0A.5c（password-only 切流）；完整部署方案已由 #87 合入 main，本 PR 不另开部署大改。

对抗审查（复审后）

级别	结论
P0	已关闭（曾叠过期部署提交 → 已 rebase 到含 #87 的 main）
P1	已关闭（畸形 Cookie → 500 → 已修并加测）
P2	保留：CORS *+credentials（既有模式）；open 注册 409 可枚举邮箱；口令最短 6；注册 UI 与 registrationMode 完全对齐留给 5c

Verdict：可合并

Test plan

• npm run test:auth-foundation（26 pass）
• npm run smoke:auth
• npx vitest run apps/api/src/interaction-runtime-adapter.test.ts（3 pass）
• npm --workspace @datafoundry/agent-runtime exec -- vitest run src/tools/governed-tool-factory.test.ts（4 pass）
• npm run typecheck
• CI Core Smoke Tests green