feat(auth): access token 缩到 2 小时 + refresh token 机制

后台登录框原来预填了 sundynix/sundynix，等于把凭证写在页面上，去掉。

令牌改为 access(2h) + refresh 两段式：
- 新表 sundynix_refresh_tokens，只存 sha256，明文只在签发时返回一次
- 有效期：小程序 30 天、后台 7 天
- 新接口 /api/auth/refresh|logout、/api/admin/refresh|logout

安全约定：
- 每次续期都轮换刷新令牌，旧的立即作废
- 作废后 60 秒内再到达算并发重试放行，超过则判定泄露、吊销该账号全部会话
- 主动退出与被连坐吊销的令牌不吃宽限期，否则「吊销全部」形同虚设
- 禁用用户时一并吊销刷新令牌，最多 2 小时彻底失去访问

两端请求层都做了单飞续期：并发请求同时 401 只发一次 refresh，
否则刷新令牌会被并发轮换掉互相打架。小程序续期失败回退 wx.login，
登录/续期请求标 noAuthRetry，避免登录失败(同样返回 40100)触发自我套娃。

顺带修掉 vite 代理仍指向 8080 的遗留（端口早已改 9090）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pets-be/internal/config/config.go

@@ -64,9 +64,13 @@ type MinIOConfig struct {
 	PublicBaseURL string `mapstructure:"public_base_url"`
 }
 
+// JWTConfig access token 短、refresh token 长：
+// access 过期由前端拿 refresh 静默续期，refresh 每次使用都轮换。
 type JWTConfig struct {
-	Secret      string `mapstructure:"secret"`
-	ExpireHours int    `mapstructure:"expire_hours"`
+	Secret                  string `mapstructure:"secret"`
+	ExpireHours             int    `mapstructure:"expire_hours"`               // access token 有效期
+	RefreshExpireHours      int    `mapstructure:"refresh_expire_hours"`       // 小程序用户刷新令牌有效期
+	AdminRefreshExpireHours int    `mapstructure:"admin_refresh_expire_hours"` // 后台刷新令牌有效期（更短）
 }
 
 type WeChatConfig struct {
@@ -105,7 +109,9 @@ func setDefaults(v *viper.Viper) {
 	v.SetDefault("minio.public_base_url", "")
 
 	v.SetDefault("jwt.secret", "")
-	v.SetDefault("jwt.expire_hours", 168)
+	v.SetDefault("jwt.expire_hours", 2)
+	v.SetDefault("jwt.refresh_expire_hours", 720) // 30 天
+	v.SetDefault("jwt.admin_refresh_expire_hours", 168)
 
 	v.SetDefault("wechat.app_id", "")
 	v.SetDefault("wechat.app_secret", "")