sgcAuth：面向 Delphi 和 C++ Builder 的 OAuth2、JWT 与 WebAuthn 组件

TsgcHTTP_OAuth2_Client 通过 OAuth2Options.GrantType 驱动多种授权模式：面向可信服务端应用的 auth2Code，面向原生、移动端和单页应用的 auth2CodePKCE，面向守护进程和服务账号的 auth2ClientCredentials，以及 auth2ResourceOwnerPassword，还有面向智能电视、自助终端等输入受限设备的 auth2DeviceCode（RFC 8628）。将 AuthorizationServerOptions 指向提供商的授权、令牌、吊销和自省端点，其余交给组件处理：当 Active/Start 运行 Authorization Code 流程时，它会打开系统浏览器，并通过 LocalServerOptions 启动一个小型本地 HTTP 服务器来捕获重定向，再通过 HTTPClientOptions 以纯 HTTPS 方式用授权码换取令牌。此后 Refresh、Revoke 和 Introspect 覆盖令牌的后续生命周期，DPoPOptions 配合 GenerateDPoPKeyPair 为要求 DPoP 持有证明（RFC 9449）的提供商提供支持。现成的 Google 和 Microsoft 预设会为您配置好常用的端点和范围。

TsgcHTTP_JWT_Client 通过 JWTOptions 提供 RFC 7519 所需的一切：JOSE Header（alg、typ、kid），已注册的 Payload 声明（iss、sub、aud、exp、nbf、iat、jti，另可通过 AddKeyValue 添加自定义声明），以及 Algorithms 下用于 HMAC（HS.Secret）、RSA（RS.PrivateKey）和 ECDSA（ES.PrivateKey）的密钥材料。调用 Sign 可直接得到紧凑序列化格式的令牌，适合没有内置 HTTP 或 WebSocket 客户端的服务；也可以设置 RefreshTokenAfter，让组件自动刷新 iat/exp 并重新签名。同一个组件可直接接入 TsgcWebSocketClient、TsgcHTTP1Client 和 TsgcHTTP2Client 的 Authentication.Token.JWT，这样每个出站请求都会携带最新的 Bearer 令牌，而无需您自己处理请求头。

TsgcTOTPAuthenticator 为您的登录流程加入任意身份验证器应用生成的六位验证码，包括 Google Authenticator 和 Microsoft Authenticator。GenerateSecret 创建一个随机的 Base32 密钥，GetProvisioningURI 构建在开通阶段渲染为二维码的 otpauth:// URI。VerifyCode 会以可配置的 Window 检查用户输入的验证码以容忍时钟偏移，其带防重放保护的重载版本永远不会两次接受同一个时间步长的验证码。GenerateHOTP 和 VerifyHOTP 覆盖基于计数器的硬件令牌，GenerateRecoveryCodes 生成一组一次性后备恢复码，Algorithm、Digits 和 Period 可选择 HMAC-SHA1、HMAC-SHA256 或 HMAC-SHA512，验证码位数可设为 6 到 8 位。

TsgcLDAPClient 是一个 LDAP v3 客户端，用于对照 Active Directory 或任意其他 LDAP 目录检查用户名和密码。Security 可选择端口 636 上的 LDAPS，或端口 389 上的 StartTLS，被拒绝的 StartTLS 会直接关闭连接，而不会回退为明文。AuthenticationMode 将用户输入的内容转换为绑定名，可以是 UPN、DOMAIN\user 形式的用户名、完整 DN，或服务绑定加 UserSearchFilter 搜索，Authenticate 可一次调用完成整个检查过程。GetUserGroups 通过 LDAP_MATCHING_RULE_IN_CHAIN 返回直接或嵌套的组成员关系，Search 会自动对大结果集分页，并且每个公共方法都经过串行化，因此单个实例即可为多线程服务器提供服务。

TsgcSAMLServiceProvider 让您的 Delphi Web 应用成为面向 Microsoft Entra ID、Okta、AD FS、Google Workspace、Keycloak 及其他身份提供者的 SAML 2.0 服务提供者。GetMetadata 生成需在 IdP 中注册的元数据，LoadIdPMetadata 读取 IdP 的元数据。GetAuthnRequestRedirectURL 和 GetAuthnRequestPostForm 通过 Redirect 或 POST 绑定将浏览器送去登录，ProcessResponse 校验返回的内容：仅对照受信的 IdPCertificates 验证签名，要求恰好一个断言以挫败签名包装攻击，随后校验颁发者、受众、目的地、InResponseTo、有效期窗口，并维护防重放缓存。结果以带有 NameID、会话索引和属性的 TsgcSAMLResult 形式返回。

TsgcHTTP_OIDC_Client 在 OAuth2 客户端基础上扩展了 OpenID Connect。设置 OIDCOptions.Issuer，Discover 会从提供者配置中填充端点和 JWKSURI。Start 以 PKCE 和新生成的 nonce 运行浏览器登录，随后验证 ID 令牌的签名、颁发者、受众、过期时间和 nonce，仅接受 RS256、RS384、RS512、ES256 和 ES384，绝不接受 none 或 HS 系列算法。OnOIDCIDToken 传递声明，GetUserInfo 返回用户资料，线程安全的密钥缓存会自动跟随密钥轮换而无需重启。在服务器端，sgcOIDC_ValidateIDToken 使用同一个缓存校验您的 REST API 或 WebSocket 服务器收到的 Bearer 令牌。

TsgcMailOAuth2 获取 Microsoft 365 和 Gmail 邮件所需的令牌。选择 Provider（mopMicrosoft365、mopGmail 或 mopCustom）以及所使用的 Protocols，组件会请求匹配的作用域。Flow 可选择以 PKCE 和回环重定向运行浏览器登录，也可选择面向服务和控制台程序的设备代码流程。Refresh 刷新访问令牌，每次都会触发 OnTokensChanged，方便您存储新的刷新令牌。GetXOAuth2 和 GetOAuthBearer 返回用于 AUTH XOAUTH2 和 AUTH OAUTHBEARER 的 SASL 字符串，可直接用于 Indy 的 TIdSMTP、TIdIMAP4、TIdPOP3 或任何其他邮件库。