AccessTokenValidator only checked signature/exp/issuer, so a token revoked
via Auth's /revoke kept working everywhere else (Gateway's scope check,
every service's Identity) until its own exp — /revoke had no effect
outside Auth's own /userinfo. It now also requires a live session for the
token's jti in the shared identity_session Redis pool.

SessionWriter gains delete(), the write-side counterpart Auth's
RevokeController needs to actually evict a session instead of only
recording revocation somewhere nothing else reads.

feat: IdentityBundle — кросс-сервисный Identity-фасад поверх локальной проверки access-токена + сессии в общем Redis

Verification (AccessTokenValidator/JwksProvider) — перенос из Gateway, тот
же локальный JWKS-based способ, без похода в Auth на каждый запрос.
Session lookup (Identity) — Auth пишет произвольный payload в общий
Redis-пул при выпуске токена (Writer\SessionWriter), ключ — jti токена,
TTL ~ время жизни токена. Любой сервис читает его обратно через Identity,
взяв тот же jti из bearer-токена того же запроса (IdentityListener). Без
фиксированной схемы полей — что Auth туда положит, то и есть.