feat(connection): deliver GitHub connection and grant management web

## Problem

用户需要在独立 Connection Web 中完成 GitHub 连接、账号识别、第二次 Grant 确认、撤权、调用记录和未知结果人工处理，当前候选页面尚未满足已确认的 Pilot 边界。

## Scope

- 在 `connection-web` 与版本化 Browser API 中交付 LDAP 登录后的 GitHub OAuth start/callback、个人 Connection 列表、脱敏账号和状态。
- 授权页同时展示 Agent Actor、GitHub 测试账号、三项 exact ActionVersion、WRITE effect 和 classic `repo` 宽权限；GitHub OAuth 成功不能自动创建 Grant。
- 支持 Grant 创建/替换/撤销、Connection disconnect、调用记录与详情，并保持 Principal/Actor/Connection 全部服务端解析。
- 普通用户查看自己的 `RESULT_PENDING` 和候选证据；Connection 管理员使用待处理列表确认唯一 Provider 结果或记录无法确认。普通用户不能修改权威结果。
- 默认简体中文，覆盖 desktop/mobile loading、empty、error、denied 和 pending 状态；不实现 Platform 页面或其他 Provider UI。

## Acceptance criteria

- [ ] **AC-1:** OAuth 与 Grant 是两个明确步骤，用户拒绝 Grant 时保留 Connection 但 Agent 无权调用，新增 Action 不自动扩权。
- [ ] **AC-2:** 普通用户只能发现和管理自己的 Connection、Grant 和调用；跨 Principal/Actor/Connection 请求不可枚举目标。
- [ ] **AC-3:** revoke/disconnect 立即更新可见状态并阻止后续新调用，页面不宣称 Provider revoke 已完成直到取得证据。
- [ ] **AC-4:** pending/manual/unresolved 页面只展示脱敏证据，只有管理员可改变权威处理状态且每次操作产生审计。
- [ ] **AC-5:** 中文 desktop/mobile 页面无内容重叠，Browser API 客户端由规范生成，Secret、Cookie、assertion 和 Credential 不进入响应或前端状态。

## Validation

- 运行 Browser API、generated client、React component/route、RBAC、CSRF、cross-user 和 Playwright desktop/mobile tests。
- 运行完整仓库验证序列并执行浏览器人工 QA。

## Blocked by

- #398
- #399
- #392
- #396
- #390
- #394