BEAM 信用卡核心現代化（cardcore）

來源（唯一權威）：HANDOVER.md §3.A 之 #A-35

• 完成時刻：09:10
• 證據：BEAM PMO 核定採 A。新增 src/auth/config.ts（組態）、src/auth/pkce.ts（verifier／challenge／state）、src/auth/authClient.ts（導向／回導／交換／refresh／登出）、src/api/authFetch.ts（統一帶 token、401 僅重試一次）；src/main.tsx 於啟動時處理回導；8 支 API 用戶端由裸 fetch 改走 authFetch。不引第三方 OIDC 套件（銀行案少一份待審相依）。實測：①協定層（tools/verify_sso_pkce.py，stdlib only）——無 token／偽造 token 皆 401，帶真 token 200 真實資料，refresh 成功；該腳本對未啟用安全性之服務會判 ❌（實測 posting-service 即如此，故亦為 #C-34 之實證）。②瀏覽器層（真實 Chrome headless）：直接 import('/src/api/parties.ts') 執行前端程式碼取回 P001／王小明、請求帶 Bearer、重整後 refresh 重建成功、localStorage 為空。型別檢查 0 錯誤、建置通過；品質關卡全過。SCS-022 升 1.4（§7.8 補實測證據）
• 匯入方式：ops/redmine/import_all_tasks.py（HANDOVER §3.A 表格；2026-10-18）

★ 本 issue 為鏡像；狀態更正請改 HANDOVER 並 commit，再重跑同步。