arkcli auth

CRITICAL — 开始前 MUST 先用 Read 工具读取 ../arkcli-shared/SKILL.md，其中包含认证闸门、配置排查与共享安全规则 CRITICAL — 用户目标是其他业务命令时，必须先判断是不是被认证阻塞，再决定是否进入本 skill。 CRITICAL — auth 是身份/TTY 工作流，全域不注册 --dry-run；不要生成该 flag。

⚠️ 0.1.16 变化总览（必读）：

1. SSO 登录引入 Gate 1+2：浏览器流后比对 SSO trn 与 is_default profile.OwnerTrn，4-case 分别走 BuildFirstProfile (新建) / GUIDE_SKIP (复用) / 提示切 default / 提示新建。详见 docs/runtime/volc-sso.md。
2. AK/SK 登录通道暂关：auth login --access-key / --secret-key 已注释,promptui 也移除"AK/SK"选项；SSO（火山）+ arkcli auth login --no-browser（根命令 flag, 不是 volc-sso 子命令 flag）是唯一登录入口。
3. auth status / auth whoami 输出新增 profile 切面字段：active_profile.{name,type,region,project,owner_trn} 和 profiles_summary[...]；顶层 auth_method/logged_in/volc_sso/ark_api_key 等老字段全部保留（向后兼容）。
4. Profile 管理迁移到 arkcli profile：config init/list/show/switch/delete 已 deprecated，详见 ../arkcli-config/SKILL.md。
5. 0.1.17 首登动态选 project：BuildFirstProfile 的 project 步骤改为经 IAM ListProjects 拉当前身份名下真实 active project 列表交互选（拉取失败/无权限回退兜底 default，不阻断登录）。登录后想换 project 不必重登：arkcli profile project [<name>]（拉同一列表重选，把 platform profile 重派生到新 project，个人版 plan profile 保留），详见 ../arkcli-profile/SKILL.md。
6. 1.0.4 起 arkcli auth login 交互式浏览器 SSO 分支支持借用本机 volcengine-cli 登录态：检测到 ve >= 1.0.45 且已 ve login 时,直接接管 STS 落一份 arkcli identity (identity_store/<key>/metadata.json.source="ve", 不写 IDToken/refresh_token/ClientID; STS 由 volcengine-go-sdk 内部持 refresh_token 自动 refresh)。用户视角: 少一次浏览器授权; agent 视角: auth_method 变成 "sts" 而非 "sso", 但 logged_in=true。检测失败 / ve 未登录 → 自动降级 arkcli 原生 SSO OAuth 流。详见 references/arkcli-auth-login.md 的"volcengine-cli 登录态借用"节。

适用场景