feat(fam-core): 登录改接 auth-hub 统一登录（OAuth2 Authorization Code + PKCE / OIDC）

移除本地 FAM_AUTH_USER/PASS 账号密码校验和内置登录表单，/login 改为 302
跳转 auth-hub /authorize，新增 /api/auth/callback 完成 code 换 token +
id_token 签名验证（PyJWT + JWKS），验证通过后种回原有 fam_session cookie，
is_authed()/全局登录拦截逻辑不变。接入参数走环境变量，未配置齐全 fail
closed。本地起 auth-hub 开发实例 + 真实浏览器验证过完整登录/登出闭环。

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/DEPLOY.md

@@ -21,7 +21,17 @@ pip install -r requirements.txt
 cp config/config.yaml.example config/config.yaml
 # 编辑 config.yaml：数据库密码、oracle_sync.base_url/token、motion_notifier（DSM 凭据走 .env）
 
-# 仓库根 .env 提供 DSM_ACCOUNT/DSM_PASSWORD/ORACLE_SYNC_TOKEN（start_core.sh 会 source）
+# 仓库根 .env 提供 DSM_ACCOUNT/DSM_PASSWORD/ORACLE_SYNC_TOKEN/AUTH_HUB_*（start_core.sh 会 source）
+
+# 登录改接 auth-hub 统一登录（2026-08-31），先在 auth-hub 侧注册本站点 client：
+#   ssh 到 auth-hub 所在 Oracle 主机，cd /opt/auth-hub
+#   python -m auth_hub.manage_clients create "FAM-Core" "http://129.146.26.249/api/auth/callback"
+#   输出的 client_id/client_secret 明文只显示这一次，立即抄进 .env
+# 仓库根 .env 补齐四项（缺任一项 fam-core 直接拒绝所有登录，fail closed）：
+#   AUTH_HUB_ISSUER=http://129.146.26.249:5300
+#   AUTH_HUB_CLIENT_ID=<上一步输出>
+#   AUTH_HUB_CLIENT_SECRET=<上一步输出>
+#   AUTH_HUB_REDIRECT_URI=http://129.146.26.249/api/auth/callback   # 必须跟注册时的 redirect_uri 逐字符一致
 
 # 启动（含 Oracle-Sync + MotionNotifier 轮询）
 cd /volume1/web/sentinel-home-ai && bash start_core.sh
@@ -84,7 +94,7 @@ tar czf - --exclude=venv --exclude=__pycache__ --exclude=data --exclude=gdrive_v
 | NAS MariaDB | `mysql -u root -p -e "SHOW DATABASES"` | 包含 sentinel_home_ai |
 | NAS FAM-Core | `curl http://localhost:8000/health` | `{"status":"ok"}` |
 | NAS 运动监测 | `curl http://localhost:8000/api/ss/status` | `poll_enabled: true, running: true` |
-| NAS FAM-UI | 浏览器访问 `http://192.168.50.64:8000` | Vue3 SPA（时间轴/人物管理/统计） |
+| NAS FAM-UI | 浏览器访问 `http://192.168.50.64:8000` | 未登录被 302 到 auth-hub 登录页；登录（审批过的 auth-hub 账号）后跳回展示 Vue3 SPA（时间轴/人物管理/统计） |
 | Oracle FAM-Edge | `curl http://localhost:5000/health` | `{"status":"ok","queue_alive":true}` |
 | Oracle 运动事件 | `sqlite3 /opt/fam-edge/data/oracle.db "SELECT COUNT(*) FROM ss_motion_events"` | >0（NAS 推送） |
 | Oracle 运动片段 | `ls /opt/fam-edge/motion_clips/` | 存在 motion_*.mp4（素材分割产物） |