AGC 认证命令失败改为 JS 侧载体并只按变体分流

- 新增 ClientAuthFailure：payload 为 ts-rs 判别联合，context 固定 source=auth + 命令名，cause 为原始拒绝值
- clientAuth 的六个命令统一走 invokeClientAuth：结构化拒绝转成 ClientAuthFailure，非结构化拒绝原样抛出，不兜底文案
- 删除 clientAuthError.ts 的形状读取与 getClientAuthErrorMessage 文案回落层
- AuthenticatedClient 的两个 catch 内联 19 个变体的 switch：业务 / 会话变体原样展示载荷 message，系统变体原样抛出经 unhandledrejection 入池，default: expectNever 保证漏接变体编译失败
- hydrateAuth 失败先离开 loading 态；系统变体不再伪装成 unavailable 投影
- ClientAuthState 收窄为 authenticated / unauthenticated，ClientAuthRefreshResult 收窄为 refreshed / unauthenticated / stale
- platformSession 续期只保留 refreshed / unauthenticated / stale 三条路径
- check-config 的 App 调用扫描登记 invokeClientAuth，继续静态证明命令名可达
- 测试：新增 clientAuthFailure 载体与编译期穷尽用例、jsdom unhandledrejection 桥；删除 clientAuthError.test.ts；clientAuthHost / authFailureReporting / authSurface 跟改新口径
- 共享记忆记录 check-config 扫描形态新增 invokeClientAuth

docs/project-memory/shared-memory/decision-log.md

@@ -8106,7 +8106,7 @@ CI 上 `background_agent_runtime_recovers_stale_running_before_pending_task` 在
 
 ## 2026-08-22 AGC Tauri 命令调用可达性失败关闭
 
-- 决策：`check-config.mjs` 的 App 调用扫描必须识别现役精确形态：裸 `invoke`、`directInvoke`、素材画布的 `invokeInput` / `invokeAuthenticatedInput` wrapper，以及对象字段 `.invoke`；不以包含 `invoke` 的任意名称、动态命令变量、注释、字符串、模板或正则文本作为可达证据。
+- 决策：`check-config.mjs` 的 App 调用扫描必须识别现役精确形态：裸 `invoke`、`directInvoke`、素材画布的 `invokeInput` / `invokeAuthenticatedInput`、认证命令的 `invokeClientAuth` wrapper，以及对象字段 `.invoke`；不以包含 `invoke` 的任意名称、动态命令变量、注释、字符串、模板或正则文本作为可达证据。
 - allowlist 边界：前端源码已调用的命令不得继续保留在 explicit native-only allowlist。allowlist 只承载确实由原生窗口或原生侧流程触发、App 源码不直接调用的 handler；源码调用与 allowlist 必须互斥。
 - 门禁：逐文件使用仓库锁定的 TypeScript AST 解析，设置文件数量、单文件 / 总源码长度、命令长度和调用数量上限。回归测试同时锁定直接、wrapper、对象字段的正例与诱饵 / 动态 / 畸形输入的反例，并证明删除真实 wrapper 调用后 handler 可达性检查失败，不能由错误 allowlist 继续误绿。