OAuth 授权码流程与 PKCE

以 vault-lab.cipherhub.cloud 为 RP、oidc.cipherhub.cloud 为 IdP，从 Vault 本地认证逐步推导 Authorization Code、PKCE、OIDC ID Token 与 Vault Token 的职责边界。