统一登录入口
Day 6 起，账户前端承接注册、登录、找回 / 重置密码，以及 OAuth continuation 的受控浏览器闭环。
账户与产品壳
账户首页、产品列表、产品首页壳均只消费 auth-service 已冻结的 Step 3 接口，不直接触达数据库或 Supabase 业务表。
恢复链接承接
如果托管密码重置仍先落到根路径，浏览器会先把 recovery hash 规范化到 /auth/reset-password，再由专用页面继续承接。
契约标记：recovery-normalized、sessionStorage、window.location.replace、/auth/reset-password