CNB 访问令牌初始化

把「让用户拥有可用 CNB 令牌 + cnb CLI + git 免密」这一步标准化。这是 CNB 工具链（建仓、提交、PR、流水线）的入口前置条件。

完成标志是两条独立链路各自打通：

• CLI 链路：cnb <子命令> 能调 API（读用户信息 200）
• git 链路：git push/pull 到 https://cnb.cool/... 免密

两条链路凭据来源不同，配好一条不代表另一条通。

背景：为什么不能直接 cnb login

cnb login 走 OAuth2 设备流，拿到的 access_token 默认不含 group-resource:rw， 导致在组织（group）下建仓库被 403 拦截（errcode: 10023, Missing required scopes: group-resource:rw）。 个人命名空间也可能因 scope 不足失败。

正确做法：用 Personal Access Token (PAT)，显式勾选所需授权范围，再通过 CNB_TOKEN 环境变量提供给 cnb CLI 与其 git-credential helper。