自主注册、登录、退出、当前用户与密码修改

兼容现有 PBKDF2 密码和 hz_session Cookie
TOTP 绑定、二步登录、防重放、恢复码与 AES-GCM 密钥
与 Node 完全一致的 Redis 键格式，可跨运行时共享会话
生产环境开启原生认证时强制要求 Redis
默认保持兼容代理；设置 AUTH_NATIVE_ENABLED=true 即可切换

MIGRATION.md

@@ -10,7 +10,7 @@
 - [x] 存活与迁移就绪检查
 - [x] 公开首页与已发布通知（原生 SQLite / MySQL 读取）
 - [x] 招生公示与 HMAC 文书验真公开接口
-- [ ] 登录、Session 与 TOTP
+- [x] 登录、自主注册、Session 与 TOTP（兼容开关默认关闭）
 - [ ] 考生业务
 - [ ] 管理后台、审批流和考务编排
 - [ ] 招生录取
@@ -39,6 +39,14 @@ dotnet run --project .\src\Eis.Web\Eis.Web.csproj
 
 可通过配置 `LegacyNode:Enabled=false` 禁用兼容转发；此时尚未迁移的 API 会返回 `501`。
 
+认证域的 ASP.NET Core 原生实现已经覆盖 `/api/auth/*`，包括现有 PBKDF2 密码、`hz_session` Cookie、登录挑战、TOTP、防重放、恢复码和自主注册。迁移期间默认仍由 Node 处理认证；显式设置以下变量后切换到原生实现：
+
+```powershell
+$env:AUTH_NATIVE_ENABLED = 'true'
+```
+
+开发环境未配置 Redis 时可以使用进程内状态独立验证原生认证。生产环境以及仍需访问 Node 受保护接口的联调环境必须配置 `REDIS_URL` 或 `REDIS_SESSION_URL`；两个运行时会复用相同逻辑库和 `exam-information:auth` 键前缀，从而共享登录会话。`GET /health/migration` 会报告 `authentication.nativeEnabled`、状态后端和跨运行时会话共享能力。
+
 完整的宿主、静态资源、JSON 转发和 Session Cookie 冒烟测试：
 
 ```powershell