refactor: 完成前后端认证体系重构与安全增强

本提交重构了全栈的认证与安全体系，包含以下核心变更：
1. **后端安全增强**：
   - 使用常量时间比较修复CSRF校验时序漏洞
   - 重构refresh token存储为哈希+密文，支持轮转宽限期与盗用检测
   - 新增cookie前缀自动配置，支持__Host-前缀强化生产环境安全
   - 优化登出逻辑为单设备登出，合并用户信息与未读通知接口
   - 增加数据库迁移脚本，兼容旧版refresh token数据升级
   - 新增定时清理过期refresh token任务

2. **前端安全与体验优化**：
   - 新增cookie工具库，统一管理认证cookie名与转发逻辑
   - 修复开放重定向漏洞，实现安全跳转校验
   - 重构SSR请求逻辑，仅转发必要的access token cookie
   - 优化middleware轮转逻辑，修复并发请求去重与边缘部署兼容性
   - 修复登录态静默校正逻辑，兼容旧版cookie路径与名称
   - 新增环境变量示例配置文件

3. **工程化改进**：
   修复Next.js类型文件导入路径，统一前后端配置与命名规范

frontend/lib/cookies.ts

@@ -0,0 +1,28 @@
+// 认证 cookie 名（前后端必须严格一致）：
+// 生产构建（HTTPS）启用 __Host- 前缀，浏览器强制 Secure + Path=/ + 无 Domain；
+// 后端按 !DevMode 同步启用（见 backend/service/auth.go ConfigureCookieNames）。
+const HOST_PREFIX = process.env.NODE_ENV === "production" ? "__Host-" : "";
+
+export const TOKEN_COOKIE = `${HOST_PREFIX}j13_token`;
+export const REFRESH_COOKIE = `${HOST_PREFIX}j13_refresh`;
+export const CSRF_COOKIE = `${HOST_PREFIX}j13_csrf`;
+
+type CookieReader = {
+  get(name: string): { value: string } | undefined;
+};
+
+// 构造转发给后端的最小 Cookie 头：SSR 公开/鉴权接口只需要 access token 来
+// 识别用户（填充 liked 等状态），不应把 refresh token、主题等无关 cookie 全量转发。
+// 返回空串表示当前无登录凭据，调用方应省略 Cookie 头。
+export function authCookieHeader(store: CookieReader): string {
+  const token = store.get(TOKEN_COOKIE);
+  return token ? `${TOKEN_COOKIE}=${token.value}` : "";
+}
+
+// 客户端判断浏览器是否可能持有登录态：j13_csrf 非 HttpOnly 可读，
+// 生命周期与 refresh 一致，适合作为挂载后静默校正的触发信号。
+export function hasAuthCookieHint(): boolean {
+  if (typeof document === "undefined") return false;
+  const escaped = CSRF_COOKIE.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
+  return new RegExp(`(?:^|;\\s*)${escaped}=`).test(document.cookie);
+}