feat(auth): JWT 滑动续期 + 401 自动登出，修复长挂机莫名掉线

- 后端：JWT 有效期可配（JWT_EXPIRE_HOURS，默认 24h）；令牌寿命过半时经
  X-Renewed-Token 响应头滑动续期；新增 POST /api/auth/refresh 以数据库真实身份签发
- 前端 request 层：静默接管续期头并同步 localStorage；任何 401（登录/续期除外）
  统一广播会话过期事件
- auth store：监听过期事件清理登录态并跳转 /login?expired=1（不再卡 403 页）；
  每 10 分钟定时续期，避免 WS 重连时令牌已过期
- 新增滑动续期单元测试（回签过期时间戳），go test -race 通过

web/src/services/api.ts

@@ -235,6 +235,8 @@ function statsQueryString(params?: StatsQuery) {
 
 // Auth
 export const login = (params: LoginParams) => post<LoginResult>('/login', params)
+/** 以当前登录身份换取新令牌（前端定时续期，防止长挂机后过期掉线） */
+export const refreshSession = () => post<{ token: string }>('/auth/refresh', {})
 
 export type AgentPresence = 'online' | 'busy' | 'offline'