refactor(登录): 登录态从 Cookie 换成 access token + refresh token

- access token 是 15 分钟的 JWT，走 Authorization: Bearer；refresh token 7 天，每次换都轮换
- 退出登录、改密码、禁用账号仍然立刻生效：每个请求核对 Redis 会话和库里新加的 user.token_version
- 在服务器后台改密码 / 禁用，机房那边登着的也会一起下线（原来两边 Redis 分开，管不到）
- WebSocket 握手借子协议带 token；JWT 密钥存在本站 Redis，部署不用加配置
- 去掉 COOKIE_SECURE；上线后所有人要重新登录一次

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docker/.env.example

@@ -67,9 +67,6 @@ WEB_PORT=
 JUDGE_STATE_DIR=
 
 # --- 只有机房那套需要 ---
-# 机房走 http 直连 IP，没有 TLS，必须 false，否则 Cookie 发不回来。
-COOKIE_SECURE=false
-
 # 机房没有本地库，连服务器的 5445。不填时默认指向服务器（默认值在 compose.school.yml 里），
 # 换服务器才要填。服务器那套不读这两个。
 DB_HOST=