从账号登录到访问 API，解释 Cookie Session、JWT 签名、Access/Refresh Token、OAuth 2.0、OIDC 和权限校验。