[fxbin]

Closes #166（authlib 部分；与 #167 叠栈，#167 合并后本 PR rebase 到 main）

改动

• authlib 1.6.12 → 1.9.1（修复 GHSA-6v38-4h7w-rj9h / fch4-3c6x-j4gc / 7vr2-2fgp-9w7p / c5mf-xmp2-59rc / x4rv-c3wx-4cr8 / jj7h-c3hg-m23x，以及升级期间新披露的 GHSA-8m4g-j4wp-wgcg——1.9.0 不含此修复，故取 1.9.1）
• 传递依赖新增 joserfc（authlib 1.9 的 JWT 底座）

Verification（按 AGENTS 高风险变更流程）

• 前置备份：升级前 pg_dump 全量备份（容器内客户端，123M，backend/data/backups/pre_authlib_upgrade_20261028_085649.sql，本地留存）
• OAuth 回归：DATABASE_URL='postgresql+asyncpg://dummy:dummy@localhost:5432/never_connect' uv run --no-sync python -m pytest tests_oauth_patch/ → 33 passed（Google/GitHub 登录链路全 mock）
• 全量后端：bash scripts/test_full_local.sh exit 0
• 本地 uv run pip-audit（A+B 叠加后）：No known vulnerabilities found —— CI security-scan 红：authlib/litellm/msgpack 新披露漏洞需升级 #166 三个包全部清零

CI 预期

base 为 #167 分支（叠栈），本 PR 的树包含全部三个升级 → security-scan 应全绿。#167 合并后将 base 切回 main（或 rebase），即可走常规合并，无需 admin 通道。