refactor: 完成前后端认证体系重构与安全增强

本提交重构了全栈的认证与安全体系，包含以下核心变更：
1. **后端安全增强**：
   - 使用常量时间比较修复CSRF校验时序漏洞
   - 重构refresh token存储为哈希+密文，支持轮转宽限期与盗用检测
   - 新增cookie前缀自动配置，支持__Host-前缀强化生产环境安全
   - 优化登出逻辑为单设备登出，合并用户信息与未读通知接口
   - 增加数据库迁移脚本，兼容旧版refresh token数据升级
   - 新增定时清理过期refresh token任务

2. **前端安全与体验优化**：
   - 新增cookie工具库，统一管理认证cookie名与转发逻辑
   - 修复开放重定向漏洞，实现安全跳转校验
   - 重构SSR请求逻辑，仅转发必要的access token cookie
   - 优化middleware轮转逻辑，修复并发请求去重与边缘部署兼容性
   - 修复登录态静默校正逻辑，兼容旧版cookie路径与名称
   - 新增环境变量示例配置文件

3. **工程化改进**：
   修复Next.js类型文件导入路径，统一前后端配置与命名规范

backend/model/models.go

@@ -43,15 +43,22 @@ type User struct {
 	DeletedAt    gorm.DeletedAt `gorm:"index" json:"-"`
 }
 
-// RefreshToken 刷新令牌表（支持服务端撤销与轮转）
+// RefreshToken 刷新令牌表（支持服务端撤销、一次性轮转与盗用检测）
+//   - TokenHash: token 的 SHA-256，数据库不存明文
+//   - TokenCipher: token 的 AES-GCM 密文，仅存在于"当前有效"行；轮转后旧行立即抹除。
+//     保留它是为了在轮转宽限期内把【同一个】新 token 返回给并发重放请求（见 service 层）
+//   - RotatedTo/RotatedAt: 轮转链，用于宽限重放判定与盗用（吊销后重放）杀全家族
 type RefreshToken struct {
-	ID        uint      `gorm:"primaryKey" json:"id"`
-	UserID    uint      `gorm:"index;not null" json:"user_id"`
-	Token     string    `gorm:"uniqueIndex;size:128;not null" json:"-"`
-	ExpiresAt time.Time `gorm:"index;not null" json:"expires_at"`
-	Revoked   bool      `gorm:"default:false" json:"revoked"`
-	CreatedAt time.Time `json:"created_at"`
-	UpdatedAt time.Time `json:"updated_at"`
+	ID          uint       `gorm:"primaryKey" json:"id"`
+	UserID      uint       `gorm:"index;not null" json:"user_id"`
+	TokenHash   string     `gorm:"uniqueIndex;size:64;not null" json:"-"`
+	TokenCipher string     `gorm:"size:512;default:''" json:"-"`
+	ExpiresAt   time.Time  `gorm:"index;not null" json:"expires_at"`
+	Revoked     bool       `gorm:"default:false;index" json:"revoked"`
+	RotatedTo   uint       `gorm:"index;default:0" json:"-"`
+	RotatedAt   *time.Time `gorm:"index" json:"-"`
+	CreatedAt   time.Time  `json:"created_at"`
+	UpdatedAt   time.Time  `json:"updated_at"`
 }
 
 // Board 论坛板块