feat: add OIDC single sign-on

[yybht155]

Summary

• 新增标准 OIDC Authorization Code 登录流程，支持任意兼容 OIDC 的身份提供方。
• 增加可配置的授权 Claim 与允许值，当前使用 groups Claim 进行用户组授权。
• 使用加密签名 Cookie 保存 OIDC 登录状态，校验 state、nonce 与 ID Token。
• 增加 OIDC 登出、登录页入口和全局当前用户/退出菜单。
• 支持通过 db_path 配置 SQLite 运行库路径，避免本地运行修改种子库。
• 升级构建环境到 Go 1.25，并统一 Builder/Runtime 为 Alpine 3.22。

Test

• go test ./...
• docker build -t ...
• 本地 OIDC 登录与 Group Claim 授权验证