feat(auth): 后台登录改为滑动会话

- JWT 记录 iat，exp=min(now+24h, iat+7d)
- 已认证请求自动续签 httpOnly Cookie
- 新增 ACCESS_TOKEN_IDLE_HOURS / ACCESS_TOKEN_MAX_HOURS

.env.example

@@ -6,6 +6,11 @@
 # 生成方式: python -c "import secrets; print(secrets.token_urlsafe(32))"
 JWT_SECRET_KEY=
 
+# 后台登录会话：空闲 24h 过期，绝对上限 7d（活跃请求自动续期，不会突破 7d）
+# 旧变量 ACCESS_TOKEN_EXPIRE_HOURS 仍可作为 ACCESS_TOKEN_IDLE_HOURS 的回退值。
+ACCESS_TOKEN_IDLE_HOURS=24
+ACCESS_TOKEN_MAX_HOURS=168
+
 # 敏感字段落盘加密密钥（生产环境必须设置且长期保持不变！）
 # 用于加密账号密码、邮箱密码、Cookie、代理密钥等数据库字段
 # 生成方式: python -c "import secrets; print(secrets.token_urlsafe(32))"