CNB 访问令牌初始化

把「让用户拥有可用 CNB 令牌并持久化」这一步标准化。这是 CNB 工具链（建仓、提交、PR、流水线）的入口前置条件。

背景：为什么不能直接 cnb login

cnb login 走 OAuth2 设备流，拿到的 access_token 默认不含 group-resource:rw， 导致在组织（group）下建仓库被 403 拦截（errcode: 10023, Missing required scopes: group-resource:rw）。 个人命名空间也可能因 scope 不足失败。

正确做法：用 Personal Access Token (PAT)，显式勾选所需授权范围，再通过 CNB_TOKEN 环境变量提供给 cnb CLI 与其 git-credential helper。

触发场景

• 用户要新建 CNB 仓库 / 推送代码，但还没配过令牌
• cnb ... 命令报 401/403，提示 scope 缺失或「未登录」
• 用户明确要「配 CNB token」「创建访问令牌」