瀏覽器零機密：帳密交給 BFF，BFF 取 X-Token 存 httpOnly cookie。三方登入走 BFF OAuth redirect（draft）。