聚合登录

安全修复
每次授权生成不可预测的一次性 state（32 字节随机数），放在回调地址路径里（/login/mapay/callback/{state}），回调时与当前浏览器会话一次性校验（常数时间比较），校验不通过的 code 不会用于登录或绑定。修复 1.0.1 的 CSRF 漏洞：此前仅校验会话发起过同类型授权，攻击者可用自己的授权 code 诱导已登录用户打开攻击者回调地址，把攻击者的三方身份绑定到受害者账号导致账号接管（Halo 应用市场审核在 2.27.1 实机复现）。
回调地址仅接受 https:// 的站点对外地址配置，防止授权 code 与一次性 state 经明文 HTTP 传输被窃取。
文档
README 按 Halo 2.27.1 实测行为重写：首次登录是 Halo 的选择页（绑定已有账号 / 注册新账号），不是自动创建账号；回调地址说明一次性随机码；安装链接指向 1.0.2 的 JAR。
补充许可证与派生来源说明：GPL-3.0、上游 halo-sigs/plugin-oauth2、与上游的具体差异及维护计划。