feat: 登录改用 JWT（access token + refresh token），不再用 cookie

- 登录返回 15 分钟的 access token（HS256，密钥 JWT_SECRET，未配置则每次启动随机）
  和 14 天的 refresh token；请求带 Authorization: Bearer，WebSocket 用 ?token=
- refresh token 只存 sha256，放在新表 auth_refresh_token（删除旧的 auth_session）；
  POST /account/refresh 换新的 access token，退出、改密码、封号时作废
- 带了无效或过期的 token 一律 401，前端据此刷新：快过期时提前刷新、并发请求只刷新一次，
  401 时刷新后重试一次，refresh token 也失效才退出登录
- 不再用 cookie，去掉 CORS credentials 和写请求的 Origin 校验

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

client/src/App.vue

@@ -2,10 +2,9 @@
 import { dateZhCN, zhCN } from "naive-ui"
 import type { GlobalThemeOverrides } from "naive-ui"
 import Login from "./components/Login.vue"
-import { onMounted, watch } from "vue"
+import { onMounted } from "vue"
 import { Account } from "./api"
-import { authed, user } from "./store/user"
-import { STORAGE_KEY } from "./utils/const"
+import { user } from "./store/user"
 import hljs from "highlight.js/lib/core"
 
 const themeOverrides: GlobalThemeOverrides = {
@@ -28,14 +27,6 @@ onMounted(async () => {
     user.loaded = true
   }
 })
-
-watch(authed, (v) => {
-  if (v) {
-    localStorage.setItem(STORAGE_KEY.LOGIN, "true")
-  } else {
-    localStorage.removeItem(STORAGE_KEY.LOGIN)
-  }
-})
 </script>
 
 <template>