x-beta.org 共通Googleログイン（OAuthブローカー）

アプリ側の使い方（Google側の設定は不要）:
1. ログインさせたい場面でリダイレクト:
   https://auth.x-beta.org/login?redirect_uri=https://<あなたのアプリ>.x-beta.org/<戻り先>&state=<任意>
2. ログイン完了後、戻り先に ?xba_token=<トークン>&state=<そのまま> が付いて戻る
3. トークンの検証（サーバー側から）:
   POST https://auth.x-beta.org/verify  {"token":"<xba_token>"}
   → 200 {"ok":true,"user":{"sub","email","name","picture","aud"}} / 401 {"ok":false}
   aud はトークンの戻り先ホスト。自分のホストと一致するか確認すること（他アプリ宛てトークンの持ち込み防止）
   トークン寿命は8時間。セッション管理はアプリ側で（このトークンをそのままCookieにして毎回verifyでも可）
制約: redirect_uri は https の x-beta.org / *.x-beta.org のみ
利用できるアカウント: 会社ドメイン（xserver.co.jp および *.xserver.co.jp）のGoogleアカウントのみ