feat(auth): 接入 auth-hub 统一登录，网页登录与 Garmin 同步彻底分离

网页身份改由 auth-hub 做 OAuth2 + PKCE 单点登录，本地邮箱/密码登录与注册整条链路删除
（routes/auth.py、auth.py 的密码哈希、config.py 的 ALLOW_REGISTRATION）。Garmin 账号绑定/
同步保持完全独立、可选：routes/garmin.py 不再直接查 users 表，Garmin 邮箱回退统一走新增
的 services/garmin.py::get_remembered_email()（优先读 garmin_tokens 当前绑定，兼容早期账号
落在 users.garmin_email 的历史值），彻底把「你是谁」和「你绑没绑 Garmin」两件事拆开。

- db.py: users 表新增 auth_hub_sub/auth_hub_username，MIGRATIONS 补上这两列（此前遗漏导致
  已存在的生产 MariaDB 表永远不会自动加列）；同时把历史遗留的 garmin_email/
  garmin_password_hash NOT NULL 约束在线迁移为可空，因为新账号不再在注册时收集这些字段。
- routes/auth.py: 修掉 /callback 路由重复拼接 /api/auth 前缀导致 404 的 bug。
- client: LoginPage 去掉本地登录/注册标签页，只保留 auth-hub 统一登录；登录成功/失败后都
  用 history.replaceState 清理地址栏，修掉 Framework7 browserHistory 读取
  /auth/callback?code=... 导致「找不到页面」的问题。
- 新增 test_auth_hub_client.py 锁定 find_or_create_user 按 auth_hub_sub 幂等——生产上曾经因为
  这个函数在没有该测试保护时被测试触发，误建过一个空账号，靠手工核对 health_data 计数才发现。
- 生产 auth-hub 侧另行为该项目注册了正式 client（未随本次提交变更，凭证只存在服务器 .env）。

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

client/src/services/api.ts

@@ -10,7 +10,7 @@ export const AUTH_EVENT = 'ghl:auth';
 // {success, data} envelope, so responses are read as `response.data` directly.
 export interface AuthResponse {
   id: string;
-  email: string;
+  username: string;
   token: string;
 }
 
@@ -408,31 +408,6 @@ class ApiClient {
   }
 
   // --- auth ---
-  async register(email: string, garminEmail: string, garminPassword: string) {
-    const { data } = await this.client.post<AuthResponse>('/auth/register', {
-      email,
-      garminEmail,
-      garminPassword,
-    });
-    return data;
-  }
-
-  /** Whether sign-up is currently permitted (closes after the first account). */
-  async getRegistrationStatus() {
-    const { data } = await this.client.get<{ open: boolean }>(
-      '/auth/registration-status'
-    );
-    return data.open;
-  }
-
-  async login(email: string, password: string) {
-    const { data } = await this.client.post<AuthResponse>('/auth/login', {
-      email,
-      password,
-    });
-    return data;
-  }
-
   async logout() {
     try {
       await this.client.post('/auth/logout');
@@ -441,6 +416,23 @@ class ApiClient {
     }
   }
 
+  // --- auth-hub OAuth2 ---
+  async authHubStart() {
+    const { data } = await this.client.post<{
+      auth_url: string;
+      code_verifier: string;
+      state: string;
+    }>('/auth/auth-hub/start', {});
+    return data;
+  }
+
+  async authHubCallback(code: string, codeVerifier: string) {
+    const { data } = await this.client.get<AuthResponse>('/auth/callback', {
+      params: { code, code_verifier: codeVerifier }
+    });
+    return data;
+  }
+
   // --- garmin ---
   /**
    * With a stored OAuth token no password is needed. Without one, the