feat(auth): access token 缩到 2 小时 + refresh token 机制

后台登录框原来预填了 sundynix/sundynix，等于把凭证写在页面上，去掉。

令牌改为 access(2h) + refresh 两段式：
- 新表 sundynix_refresh_tokens，只存 sha256，明文只在签发时返回一次
- 有效期：小程序 30 天、后台 7 天
- 新接口 /api/auth/refresh|logout、/api/admin/refresh|logout

安全约定：
- 每次续期都轮换刷新令牌，旧的立即作废
- 作废后 60 秒内再到达算并发重试放行，超过则判定泄露、吊销该账号全部会话
- 主动退出与被连坐吊销的令牌不吃宽限期，否则「吊销全部」形同虚设
- 禁用用户时一并吊销刷新令牌，最多 2 小时彻底失去访问

两端请求层都做了单飞续期：并发请求同时 401 只发一次 refresh，
否则刷新令牌会被并发轮换掉互相打架。小程序续期失败回退 wx.login，
登录/续期请求标 noAuthRetry，避免登录失败(同样返回 40100)触发自我套娃。

顺带修掉 vite 代理仍指向 8080 的遗留（端口早已改 9090）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pets-fe/utils/api.js

@@ -1,4 +1,11 @@
-const { request, uploadFile, setToken } = require('./request.js');
+const { request, uploadFile, setToken, setRefreshToken } = require('./request.js');
+
+// 登录成功后统一落盘 access + refresh 两个令牌
+function saveTokens(data) {
+  setToken(data.token);
+  setRefreshToken(data.refresh_token);
+  return data;
+}
 
 // wx.login 取 code
 function wxLogin() {
@@ -14,14 +21,18 @@ function wxLogin() {
 async function login() {
   try {
     const code = await wxLogin();
-    const data = await request({ url: '/api/auth/wechat', method: 'POST', data: { code } });
-    setToken(data.token);
-    return data;
+    // noAuthRetry：登录接口失败时也会返回 40100，不能再触发「续期→重新登录」，否则会自己套自己
+    const data = await request({ url: '/api/auth/wechat', method: 'POST', data: { code }, noAuthRetry: true });
+    return saveTokens(data);
   } catch (e) {
     console.warn('[api] 微信登录失败，回退 Mock 登录：', e && e.message);
-    const data = await request({ url: '/api/auth/login', method: 'POST', data: { nickname: '开发用户' } });
-    setToken(data.token);
-    return data;
+    const data = await request({
+      url: '/api/auth/login',
+      method: 'POST',
+      data: { nickname: '开发用户' },
+      noAuthRetry: true,
+    });
+    return saveTokens(data);
   }
 }