feat(auth): 重构认证系统，引入 session 会话管理

- 新增 user_sessions 数据库表及 Alembic 迁移
- 实现 SessionService 会话生命周期管理（创建/刷新/撤销/清理）
- 认证流程改用 refresh token cookie + access token 双令牌模式
- 前端实现自动静默刷新、跨标签页同步及设备指纹
- 用户设置页新增会话管理和密码修改功能
- 管理员用户管理新增强制登出和会话查看
- 密码策略增强，支持强度校验和泄露检测
- OAuth 登录流程适配新会话机制
- 新增完整的单元测试和 API 测试覆盖

Closes #232

Co-authored-by: LewisPen <LewisPen@nyadoo.com>

tests/services/test_auth.py

@@ -268,10 +268,10 @@ class TestUserAuthentication:
         assert isinstance(result, AuthenticatedUserSnapshot)
         assert result.user_id == "user-123"
         assert result.username == "tester"
-        thread_db.commit.assert_called_once()
+        thread_db.commit.assert_not_called()
         thread_db.close.assert_called_once()
         route_db.commit.assert_not_called()
-        invalidate_cache.assert_awaited_once_with("user-123", "test@example.com")
+        invalidate_cache.assert_not_awaited()
 
     @pytest.mark.asyncio
     async def test_load_user_for_pipeline_threadsafe_prefetches_balance(self) -> None: