feat(auth): 服务端托管 Google OAuth；修复未解锁 vault 时 bootstrap

- API：桌面登录 session、Google 托管回调与轮询
- Desktop：轮询登录；bootstrap 在 vault 未解锁时不返回 shell，避免跳过主密码
- 文档与 deploy/.env.example 对齐 GOOGLE_OAUTH_* 与 SECRETS_PUBLIC_BASE_URL

apps/desktop/dist/main.js

@@ -510,6 +510,7 @@ async function doDemoLogin() {
   if (!invoke) return;
   setLoginError("");
   loginButton.disabled = true;
+  loginButton.textContent = "正在打开浏览器...";
   try {
     let data = await invoke("continue_demo_login");
     data = await ensureUnlockedShell(data);
@@ -518,6 +519,7 @@ async function doDemoLogin() {
   } catch (error) {
     setLoginError(String(error));
   } finally {
+    loginButton.textContent = "前往浏览器登录";
     loginButton.disabled = false;
   }
 }