feat(auth): access token 缩到 2 小时 + refresh token 机制

后台登录框原来预填了 sundynix/sundynix，等于把凭证写在页面上，去掉。

令牌改为 access(2h) + refresh 两段式：
- 新表 sundynix_refresh_tokens，只存 sha256，明文只在签发时返回一次
- 有效期：小程序 30 天、后台 7 天
- 新接口 /api/auth/refresh|logout、/api/admin/refresh|logout

安全约定：
- 每次续期都轮换刷新令牌，旧的立即作废
- 作废后 60 秒内再到达算并发重试放行，超过则判定泄露、吊销该账号全部会话
- 主动退出与被连坐吊销的令牌不吃宽限期，否则「吊销全部」形同虚设
- 禁用用户时一并吊销刷新令牌，最多 2 小时彻底失去访问

两端请求层都做了单飞续期：并发请求同时 401 只发一次 refresh，
否则刷新令牌会被并发轮换掉互相打架。小程序续期失败回退 wx.login，
登录/续期请求标 noAuthRetry，避免登录失败(同样返回 40100)触发自我套娃。

顺带修掉 vite 代理仍指向 8080 的遗留（端口早已改 9090）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pets-be/internal/handler/auth.go

@@ -4,6 +4,7 @@ import (
 	"github.com/gin-gonic/gin"
 
 	"github.com/sundynix/pets-be/internal/middleware"
+	"github.com/sundynix/pets-be/internal/model"
 	appjwt "github.com/sundynix/pets-be/pkg/jwt"
 	"github.com/sundynix/pets-be/pkg/response"
 )
@@ -12,6 +13,26 @@ type loginReq struct {
 	Nickname string `json:"nickname"`
 }
 
+// userTokens 签发小程序用户的「access + refresh」令牌对。
+// access token 只有 2 小时，前端过期后拿 refresh_token 静默续期。
+func (h *Handler) userTokens(user *model.User) (gin.H, error) {
+	token, err := h.jwt.Generate(user.ID, appjwt.KindUser, user.Nickname, "")
+	if err != nil {
+		return nil, err
+	}
+	refresh, refreshExp, err := h.svc.IssueRefreshToken(string(appjwt.KindUser), user.ID)
+	if err != nil {
+		return nil, err
+	}
+	return gin.H{
+		"token":              token,
+		"refresh_token":      refresh,
+		"expires_in":         h.jwt.ExpireSeconds(),
+		"refresh_expires_at": refreshExp,
+		"user":               user,
+	}, nil
+}
+
 // Login 开发态 Mock 登录
 func (h *Handler) Login(c *gin.Context) {
 	if !h.cfg.Auth.DevLogin {
@@ -26,12 +47,12 @@ func (h *Handler) Login(c *gin.Context) {
 		response.FailErr(c, err)
 		return
 	}
-	token, err := h.jwt.Generate(user.ID, appjwt.KindUser, user.Nickname, "")
+	data, err := h.userTokens(user)
 	if err != nil {
 		response.FailErr(c, err)
 		return
 	}
-	response.OK(c, gin.H{"token": token, "user": user})
+	response.OK(c, data)
 }
 
 type wechatLoginReq struct {
@@ -70,12 +91,52 @@ func (h *Handler) WechatLogin(c *gin.Context) {
 			}
 		}
 	}
-	token, err := h.jwt.Generate(user.ID, appjwt.KindUser, user.Nickname, "")
+	data, err := h.userTokens(user)
 	if err != nil {
 		response.FailErr(c, err)
 		return
 	}
-	response.OK(c, gin.H{"token": token, "user": user})
+	response.OK(c, data)
+}
+
+type refreshReq struct {
+	RefreshToken string `json:"refresh_token"`
+}
+
+// RefreshToken POST /api/auth/refresh
+// 用刷新令牌换新的 access token；刷新令牌本身也会轮换，旧的立即失效。
+func (h *Handler) RefreshToken(c *gin.Context) {
+	var req refreshReq
+	_ = c.ShouldBindJSON(&req)
+
+	userID, err := h.svc.ConsumeRefreshToken(req.RefreshToken, string(appjwt.KindUser))
+	if err != nil {
+		response.Fail(c, 40100, err.Error())
+		return
+	}
+	user, err := h.svc.GetUser(userID)
+	if err != nil {
+		response.Fail(c, 40100, "登录已失效，请重新登录")
+		return
+	}
+	if user.Disabled {
+		response.Fail(c, 40300, "账号已被禁用")
+		return
+	}
+	data, err := h.userTokens(user)
+	if err != nil {
+		response.FailErr(c, err)
+		return
+	}
+	response.OK(c, data)
+}
+
+// Logout POST /api/auth/logout 作废当前刷新令牌
+func (h *Handler) Logout(c *gin.Context) {
+	var req refreshReq
+	_ = c.ShouldBindJSON(&req)
+	h.svc.RevokeRefreshToken(req.RefreshToken, string(appjwt.KindUser))
+	response.OK(c, gin.H{"ok": true})
 }
 
 // Profile 当前用户资料