为 HashiCorp Vault 构建支持 Web 登录的 OIDC IdP

给原本只支持 M2M 私钥换 JWT 的自建 OIDC Provider 补上 Vault 可调用的 Authorization Code Flow，沿 Vault CLI、浏览器、Vault Server 和 Provider 的真实调用链讲清楚 Loopback 回调、授权码、PKCE 与 nonce 的实现边界。