feat(oauth): 账号封禁前置 OAuth 验证、抽取 provider_context、完善账号状态分类

- 新增 verify_oauth_before_account_block：在标记账号封禁前先尝试刷新 token，
  区分 OAuth 过期与真正的账号级封禁，避免误标
- 抽取 provider_context.py 统一解析 provider_type，解决 ORM detached 访问问题
- account_state 新增 workspace_deactivated 分类和 auto-removable 状态集合，
  补充中文验证关键词匹配
- OAuth refresh 成功后仅清除可恢复的 token 错误，不再自动清除账号级 block
- deploy.sh 依赖指纹改用纯 shell 实现，移除对 Python tomllib 的依赖
- 前端 Pool 管理页面新增筛选和批量操作优化
- 补充对应测试用例

tests/services/test_provider_keys_key_command_service.py

@@ -244,10 +244,10 @@ def test_clear_oauth_invalid_response_invalidates_caches(
 
     result = command_module.clear_oauth_invalid_response(cast(Any, db), key_id="key-1")
 
-    assert result["message"] == "已清除 OAuth 失效标记，Key 已自动启用"
+    assert result["message"] == "已清除 OAuth 失效标记"
     assert key.oauth_invalid_at is None
     assert key.oauth_invalid_reason is None
-    assert key.is_active is True
+    assert key.is_active is False
     assert db.commit_count == 1
     assert cache_calls == [("key", "key-1"), ("models", None)]