feat: 實作 bear apps 指令群 list/show/create/update/rotate-secret/toggle（issue #10）

- Api：新增 /api/v1/apps 端點（apps_list/get/create/update/rotate_secret/toggle，
  401/403/404/422/5xx/網路 分流）
- Apps：指令群實作——client_id → UUID 以 list 解析；一次性 client_secret
  僅於 create/rotate-secret 成功當下輸出；--json 輸出符合 docs/commands.md §3.6；
  visibility/status 過濾由 CLI 本地套用
- CLI：apps 子指令解析（重複選項收集為清單）、本地用法驗證（缺參數/列舉值/
  PKCE 未綁 --jwk-id → 退出碼 2）、help 更新
- 測試：注入 fake API 的單元測試 29 例（解析、輸出、退出碼、UUID 解析、
  401/403/404/422 分流、PKCE rotate）
- 文件：README.md 實作狀態、docs/commands.md §3.6/§9 更新

docs/commands.md

@@ -183,9 +183,9 @@ issuer：https://alterminal.com
 
 ---
 
-### 3.6 `bear apps`：App 管理指令群（P3，規劃中）
+### 3.6 `bear apps`：App 管理指令群（P3，已實作）
 
-> 依賴：bear 伺服器端 **App 管理 JSON API**（alterminal/bear#28，資源前綴 `/api/v1/apps`，PAT Bearer 認證、管理操作限 admin）。API 落地前本節僅為規格。
+> 依賴：bear 伺服器端 **App 管理 JSON API**（alterminal/bear#28，資源前綴 `/api/v1/apps`，PAT Bearer 認證、管理操作限 admin）。API 已上線（PR alterminal/bear#29），本節指令群已實作（issue #10）；`--visibility`／`--status` 過濾目前由 CLI 全量列舉後本地套用（伺服器 list 端點尚無對應查詢參數）。
 
 `bear apps` 是「資源群組」指令：`bear apps <動詞>`。這是第 1 節「扁平結構」原則的首個例外——App 的管理操作（列表、檢視、建立、更新、輪轉 secret、啟停用）若攤平命名會造成指令名爆炸（`bear apps-create`…），故收斂為單一群組；未來同類資源管理指令比照。
 
@@ -612,7 +612,7 @@ TOTP 兩因子管理（WebAuthn／passkey 不在範圍）。
 | `token` | refresh token 輪轉換新 | 直接印出 PAT；`--refresh` 為用法錯誤（退出碼 2）；`BEAR_TOKEN` 提供時優先印出 |
 | `logout` | `POST /revoke`（撤銷 refresh token） | 僅清除本機憑證；PAT 需至網頁 `/profile/tokens` 撤銷 |
 | `status` | 顯示 access token 剩餘秒數 | 純本機判定：顯示模式（PAT／BEAR_TOKEN 環境變數）與 issuer |
-| `apps` | P3 暫緩 | 未實作；App 管理指令規格見 #5，伺服器端 API 見 alterminal/bear#28 |
+| `apps` | P3 暫緩 | ✅ 已實作（issue #10）：`list`／`show`／`create`／`update`／`rotate-secret`／`toggle`，對接 alterminal/bear#28 的 `/api/v1/apps` JSON API（PAT Bearer、admin 限定）。`client_id` → UUID 由 CLI 以 list 解析；一次性 `client_secret` 僅於 create／rotate-secret 成功當下輸出 |
 | `profile`／`password`／`email`／`sessions`／`tokens`／`mfa` | P3 暫緩 | 未實作；個人自助指令規格見 #11（§3.7），伺服器端 API 見 alterminal/bear#35 |
 
 退出碼差異：`login`／`whoami` 的 token 無效（401）依 §3.1 為 `3`（本節實作一致）。