fix(trae): redeem auth code on callback and handle CN host fallback

[favoroo]

Summary

Fix Trae browser login so it completes on the callback itself.

• Login completes on the callback itself. The loopback listener used to only park the authorization code and wait for a console poll, but the poll window is much shorter than a real browser login (SMS login can take minutes), so the code expired unused and the account showed account not found. The callback now exchanges the code and stores the credential immediately. Pasted callback URLs still work and now actually redeem; a URL carrying only loginTraceID is accepted; the single-use code is exchanged exactly once even when callback, poll, and paste overlap.

Review follow-ups (2026-10-19)

• Device-id normalization split out: the aha-<md5> remapping conflicted with main's verified conclusion (numeric ids must be sent as-is; an aha- prefix is rejected with 9074), so that commit is removed from this PR and will come back as a separate PR with real-account verification (CN + Global, fresh logins with numeric device ids) before it is considered.
• Debug logs trimmed: removed logs that could leak login state (callback URL, OAuth trace, code/verifier lengths, success logs). Failures now log only account, host, status, and the extracted error code — never the raw upstream payload or the callback URL. The acceptCallback parse failure no longer echoes the parse error either (it embeds the raw URL with the one-shot code).
• Dead code removed: the never-assigned lastErr in ExchangeAuthCode and the unreachable post-loop return are gone.
• Rebased onto latest main; go test ./... green.

Tests

• go build ./..., go vet ./..., go test ./..., git diff --check
• Trae provider tests cover the login fix.

[caigee-cmd]

感谢提交！浏览器登录在回调时直接完成换码这部分修复很有价值，解决了短信登录耗时长导致 code 过期、最终显示 account not found 的问题，单次 code 防重复兑换的处理也很周到。

合并前需要调整以下几点：

1. 设备 ID 规范化与 main 的现有结论冲突。main 上 headers.go 的注释写的是：纯数字 id 必须原样发送，加 aha- 前缀反而会被 9074 拒绝。本 PR 改为把非 32 位 hex 的 id 一律 MD5 映射为 aha-<md5>，另外已经带 aha- 但后缀不是 32 位 hex 的 id 也会被改写。请任选其一：
   • 用真实账号（最好国内、国际各一个，覆盖纯数字 device id 的新登录）验证签到能成功，并在 PR 中附上脱敏后的结果；
   • 或者把设备 ID 改动拆到单独的 PR，本 PR 只保留登录修复。
2. 请删除或收敛新增的调试日志。目前 StartLogin 会打出完整的 callback URL 和 trace（即 OAuth state），ExchangeAuthCode 失败时会打出完整的上游 payload，存在泄露登录态的风险。建议只保留失败日志，并且只记录 account、host、status 和错误码，不要输出 URL、state、payload。
3. ExchangeAuthCode 里的 lastErr 从未赋值，循环后的 return credential, lastErr 是无效代码，请清理。
4. 目前分支落后 main，请 rebase 到最新 main 后再跑一遍 go test ./...。

改完后 @ 我一下，我会尽快再看。谢谢！

[favoroo]

@caigee-cmd 已按 review 调整：

1. 设备 ID 规范化已拆出：与 main 上 headers.go 的结论（纯数字 id 必须原样发送，aha- 前缀会被 9074 拒绝）确实冲突，该提交已从本 PR 移除，本 PR 现在只保留登录修复。设备 ID 的改动我会另开 PR，并先用真实账号（国内、国际各一个，覆盖纯数字 device id 的新登录）验证签到后再附脱敏结果。
2. 日志已收敛：删除了会泄露登录态的新增日志（StartLogin 的完整 callback URL + trace、acceptCallback 的 parse 错误——url.Parse 的错误信息会带上含一次性 code 的原始 URL、redeemAsync 的 start/success 日志）。失败日志现在只记录 account、host、status 和提取出的错误码：ExchangeAuthCode 不再输出原始 payload，redeemAsync 失败只记分类后的 status/code（完整 error message 可能嵌入上游 payload）。
3. lastErr 死代码已清理：连同循环后永不可达的 return credential, lastErr 一并移除。
4. 已 rebase 到最新 main，go test ./... 全绿。

@caigee-cmd 麻烦再看一下，谢谢！

[caigee-cmd]

LGTM. Review follow-ups look good: device-id change split out, sensitive logs trimmed, dead lastErr removed, rebased. Merging.