- sso.ts 新增 issueWorkbenchTicket：以内存 Casdoor token 向工作台同源 /csf/api 换一次性票
  （csf Result 形态解析，跨域由 csf allowed-origins 白名单放行）
- openWorkbench：有票落 /auth/ticket 建会话；无 token/换票失败静默回落原直连（PKCE 兜底）