feat(sso): 治理面 CAS 登录 + 机器面内部令牌门 + 注册表重载双口

- 治理面浏览器 SSO（/api/internal/admin/*）：cas-client-core 3.5.1 固定 service 票据校验
  （ctx 为空、外链前缀由 Caddy 剥离，按请求路径拼 service 必 404，故用固定回跳靶点）；
  未登录双形态应答——带 yschapirequest:1 出 200+{code:302,urlToRedirectTo}（平台同构，
  alova 直接整页跳），裸调用出 401 治理面信封；OPENGW_SSO_ENABLED 默认关，
  回滚=清 env 重新 Apply，不回退镜像
- 机器面（/api/internal/* 其余）收口 InternalTokenFilter：只认 X-Internal-Token，
  值走 OPENGW_INTERNAL_TOKEN env，空=灰度放行（projman 路由同步不打断）；
  比较用 XOR 折叠常量时间（String.equals 提前短路有时序侧信道；MessageDigest.isEqual
  在 JDK8 非 const-time，JDK9 才修）
- 注册表重载抽 RegistryReloader：机器面 /routes/refresh 与控制台按钮
  /admin/routes/reload 共用同一实现（一接口面一种认证，不做令牌 OR 会话混判）
- 治理会话 cookie 改名 OPENGW_SESSION：ctx 为空时默认 JSESSIONID(Path=/) 会与
  base 域各应用同名叠放进同一个 Cookie 头
- session 端点在 CAS 面未装配时回空 ssoHost：前端据此隐藏「退出」，不在匿名端点
  泄漏 CAS 基址、灰度期不出现平台级注销入口
- 新增 44 用例：面守卫机械钉桩（全仓控制器映射必须声明鉴权归属）+ 装配红线
  （默认关/序位/固定 service 原样采用）+ 双形态应答 + 令牌三态/灰度窗 + 重载器

pom.xml

@@ -37,7 +37,12 @@
     </dependencyManagement>
 
     <dependencies>
-        <!-- 白名单（开放接口中心 T0.8）：本清单外依赖不得引入 -->
+        <!-- 白名单（开放接口中心 T0.8）：本清单外依赖不得引入。
+             2026-10-09 例外授权：org.jasig.cas.client:cas-client-core（治理面浏览器 SSO 票据校验，
+             版本与 Notice/UserBase 逐字一致，见下）。仍不得引 yh-auth starter——平台注入的
+             YH_SSO_SERVER_URL_PREFIX 已在容器 env 中，starter 的
+             {@code @ConditionalOnProperty(yh.sso.server-url-prefix)} 会被动点燃并以默认
+             /api/* 圈住机器面，且其 serverName() 正则会丢掉外链前缀导致回跳 404。 -->
         <dependency>
             <groupId>org.springframework.boot</groupId>
             <artifactId>spring-boot-starter-web</artifactId>
@@ -103,6 +108,13 @@
             <artifactId>springdoc-openapi-ui</artifactId>
             <version>1.7.0</version>
         </dependency>
+        <!-- CAS 客户端（治理面浏览器 SSO 的票据校验）。只用 cas-client-core、不引平台 yh-auth starter，
+             接法见 com.yunhai.platform.gateway.sso 包注释。版本与 Notice/UserBase 及本地 .m2 一致。 -->
+        <dependency>
+            <groupId>org.jasig.cas.client</groupId>
+            <artifactId>cas-client-core</artifactId>
+            <version>3.5.1</version>
+        </dependency>
     </dependencies>
 
     <build>