fix(core): 回调先校验 state 再处理 error，堵掉伪造取消失效登录

reviewer P2（crates/core/src/auth/microsoft/callback.rs）：handle() 先处理 error 参数、
之后才校验 state，于是任意一次 `GET http://localhost:{port}/auth?error=access_denied`
（state 随便给甚至不给）都会让 wait_for_code 直接返回 Canceled，登录被静默中止、账户不入库
—— 不需要知道随机 state、不需要 code、不需要任何凭据。违反 RFC 6749 §4.1.2.1 / RFC 9207
（错误响应同样要校验 state），也与本模块「与本次登录无关的请求一律继续等待」的声明矛盾。

- state 校验提到 error 之前：state 不匹配的请求（无论带不带 error）一律 400 后继续等；
  只有带**本机 state** 的 access_denied 才判 Canceled。模块文档第 4 条同步改写。
- 顺带采纳 reviewer 的两条非计数观察：
  * 读头预算改为 accept 之后按 deadline 重算（原来复用 accept 前的 remaining，
    总时长可超发 ≤5s）；预算归零直接超时。
  * state 由 64 位升到 128 位（两个独立随机种子的 SipHash 输出拼接），对齐
    RFC 6749 §10.10 的熵建议；新增单测断言 32 位 hex 且每次不同。
- 新增回归用例（crates/core/tests/auth/microsoft_authcode.rs）：
  `foreign_state_cannot_cancel_the_login` —— 先发 `?error=access_denied`（无 state）
  再发 `?error=access_denied&state=not-our-state`，两次都必须 400 且服务器继续等待，
  随后真回调拿到 code；`access_denied_with_our_state_is_still_canceled` 钉住另一半语义。
  既有的「陈旧 state 回 400 后继续等」用例保持通过。

门禁：cargo fmt --all --check OK；cargo clippy --workspace --all-targets -- -D warnings
exit 0 无告警；cargo test -p unlucky-core -p unlucky-app 18 个 suite 全绿（auth 59 例）。

AskaEth <i@yeij.top>

crates/core/src/auth/microsoft/authcode.rs

@@ -195,18 +195,26 @@ where
 }
 
 /// 每次登录一个 `state`（不用于加密，只用来把迟到的旧回调挡掉）。
+///
+/// 128 位（两个独立随机种子的 SipHash 输出拼接）：RFC 6749 §10.10 建议 `state` 至少
+/// 128 位熵，挡住「猜到 state 就能伪造回调」这类攻击面。
 fn nonce() -> String {
     use std::collections::hash_map::RandomState;
     use std::hash::{BuildHasher, Hasher};
 
-    let mut hasher = RandomState::new().build_hasher();
     let nanos = SystemTime::now()
         .duration_since(UNIX_EPOCH)
         .map(|since| since.as_nanos())
         .unwrap_or(0);
-    hasher.write_u128(nanos);
-    hasher.write_u32(std::process::id());
-    format!("{:016x}", hasher.finish())
+    let mut halves = [String::new(), String::new()];
+    for half in &mut halves {
+        // 每次 `RandomState::new()` 都是独立随机种子 → 两段各 64 位、彼此不可推。
+        let mut hasher = RandomState::new().build_hasher();
+        hasher.write_u128(nanos);
+        hasher.write_u32(std::process::id());
+        *half = format!("{:016x}", hasher.finish());
+    }
+    format!("{}{}", halves[0], halves[1])
 }
 
 /// 百分号编码（RFC 3986 unreserved 之外一律转义；空格用 `%20` 而不是 `+`）。
@@ -264,4 +272,13 @@ mod tests {
     fn grant_type_is_the_standard_one() {
         assert_eq!(AUTHORIZATION_CODE_GRANT, "authorization_code");
     }
+
+    #[test]
+    fn generated_state_has_128_bits_of_entropy() {
+        let first = super::nonce();
+        let second = super::nonce();
+        assert_eq!(first.len(), 32, "128 位 = 32 个 hex 字符：{first}");
+        assert!(first.chars().all(|c| c.is_ascii_hexdigit()), "{first}");
+        assert_ne!(first, second, "每次登录的 state 必须不同");
+    }
 }