用 Spring Security 配置替代登录可用性 Filter

docs/ad-login.md

@@ -29,6 +29,9 @@ try-with-resources 管理已认证用户仓储会话；基础设施的 `AdUserRe
 
 ## 启用
 
+`iam.ad.enabled=true` 时才装配登录 Controller 与浏览器安全链（含 formLogin）。
+未启用时入口由兜底安全链拒绝，匿名 GET 返回 401；不注册密码处理端点。
+
 正常 JVM 构建：
 
 ```sh
@@ -77,7 +80,8 @@ LDAP endpoint identification 或用信任所有证书的 socket factory。连接
 AD 根范围查询可能返回 DomainDnsZones/ForestDnsZones 等分区 referral；配置为 ignore，
 由仓储的 LdapTemplate 忽略 partial result，不使用 throw 打断用户查询，也不 follow 转发用户凭据。
 
-浏览器入口只接受 HTTPS；明文请求返回 426。默认不信任转发头。若以后由代理终结 TLS，
+浏览器安全链通过 Spring Security `redirectToHttps` 将明文请求重定向至 HTTPS，
+重定向前不执行密码验证或退出。默认不信任转发头。若以后由代理终结 TLS，
 必须配合仅受信代理可达的后端网络和转发头配置，不能公开一个信任任意 forwarded header
 的 HTTP 端口。当前开发验收由应用直接终结 TLS。
 

docs/native-validation.md

@@ -26,6 +26,9 @@ WebAuthn 集成；TOTP、恢复方式与已有 Authelia MFA 的迁移方式需
 ## Native 与监控
 
 - CI 构建 Native 产物并对该产物执行集成测试；测试报告区分 JVM 与 Native。
+- 登录 Controller 与安全链使用 `@ConditionalOnProperty(iam.ad.enabled)`；AOT 在构建时
+  决定 bean 是否存在。AD Native 产物必须在 AOT 阶段启用此属性，验证实际入口与兜底链，
+  不能假设运行时修改属性会重新装配 bean。本轮只验证 JVM，尚未验收该 Native 路径。
 - 最终运行镜像无需 JRE，不允许以回退 JVM 的方式令 Native 验收通过。
 - LDAP、MFA、数据库、TLS、JSON 和 Hydra HTTP 客户端全部在 Native 中执行。
 - 纳入 Actuator、Micrometer Prometheus 与 OpenTelemetry/分布式追踪；实际发起请求后