refactor: 拆分调度器为独立子模块，增强 Sub2API 多认证方式支持

调度器重构:
- 将 CacheAwareScheduler 拆分为 candidate_builder、candidate_sorter、
  concurrency_checker、restriction_checker、scheduling_config、schemas、utils 等独立模块
- 删除旧的 _candidate_builder.py 和 _candidate_sorter.py
- 新增调度并发拒绝 Prometheus 指标

Sub2API 架构增强:
- 支持账号密码登录和 Refresh Token 两种认证方式
- 实现 JWT 自动刷新和 Token Rotation 持久化
- 前端 ProviderAuthDialog 支持多认证方式切换和 credentials_schema 动态渲染
- 验证接口返回 updated_credentials 以同步轮换后的 token

其他改进:
- 并发管理器增加 RPM guard 和动态预留逻辑
- RequestCandidate 支持 mark_skipped 附加 extra_data
- TaskService 增强健壮性
- 补充相关单元测试和契约测试

src/core/metrics.py

@@ -39,6 +39,13 @@ request_total = Counter(
     ["type", "status"],  # type values: streaming/non-streaming, status: success/error
 )
 
+# 调度：并发拒绝计数（RPM guard）
+scheduler_concurrency_denied_total = Counter(
+    "scheduler_concurrency_denied_total",
+    "Total number of candidates skipped due to concurrency/RPM limits",
+    ["is_cached_user", "reason", "reservation_phase"],
+)
+
 # 健康监控相关
 health_open_circuits = Gauge(
     "health_open_circuits",