Auth Gateway — OIDC + PKCE