feat(server): OIDC 登录支持（F23）

- 引入 openid-client，新增 /api/auth/oidc/login + /api/auth/oidc/callback
- 通过 email 绑定既有员工账号，保留密码登录 fallback
- OIDC 状态存 cookie(HMAC) + PKCE + SameSite=lax 防 CSRF
- 更新 env/README 与 v3 CSV 状态推进

server/.env.example

@@ -38,6 +38,14 @@ MAX_UPLOAD_SIZE_BYTES="10485760"
 # WEAK_PASSWORD_CHECK_ENABLED="true"
 # WEAK_PASSWORD_MIN_SCORE="2"           # zxcvbn score < 2 -> reject
 
+# ===== OIDC/SSO（F23，可选）=====
+# OIDC_ENABLED="true"
+# OIDC_ISSUER_URL=""
+# OIDC_CLIENT_ID=""
+# OIDC_CLIENT_SECRET=""
+# OIDC_REDIRECT_URI="http://127.0.0.1:3000/api/auth/oidc/callback"
+# OIDC_SCOPES="openid profile email"
+
 DELEGATION_REVOKE_CRON="0 * * * *"
 
 OCR_PROVIDER="off"