feat: persist authentication sessions in postgres

docs/architecture.md

@@ -3,7 +3,7 @@
 ## 三仓关系
 
 ```text
-pk-lab-xhs (综合小程序 + :3001 公网预览) ─┐
+pk-lab-xhs (综合小程序 + :3000 公网预览) ─┐
                                                ├─ HTTPS ─ pk-lab-server (:18082) ─ PostgreSQL 16
 rice-pk-xhs (饭类小程序 + :3002 公网预览) ───┘
 ```
@@ -21,6 +21,7 @@ rice-pk-xhs (饭类小程序 + :3002 公网预览) ───┘
 
 - `users`：内部用户，不保存小红书密码或 session key。
 - `app_identities`：两套小程序各自的 `open_id` 映射。
+- `auth_sessions`：随机 session token 的 SHA-256 哈希、所属用户和 app、有效期及撤销时间；原始 token 只返回给客户端。
 - `tests` / `candidates`：题库和候选项；首批 7 套、288 项。
 - `test_runs`：冠军、亚军、Top 排名、每轮左右选项与胜者、来源 app。
 - `link_codes`：SHA-256 后的一次性绑定码、10 分钟过期时间与使用时间。
@@ -31,11 +32,11 @@ rice-pk-xhs (饭类小程序 + :3002 公网预览) ───┘
 
 Secrets：
 
-- `GITEA_TOKEN`：CI 下载精确 commit 归档。
 - `POSTGRES_PASSWORD`：长随机密码，首次部署后不要随意更换。
-- `TOKEN_SECRET`：至少 32 字节随机值，变更会使现有登录失效。
-- `XHS_HUB_APP_ID` / `XHS_HUB_APP_SECRET`：综合版。
-- `XHS_RICE_APP_ID` / `XHS_RICE_APP_SECRET`：饭类独立版。
+- `XHS_HUB_APP_ID` / `XHS_HUB_APP_SECRET`：综合版，创建小程序应用后再配置。
+- `XHS_RICE_APP_ID` / `XHS_RICE_APP_SECRET`：饭类独立版，创建小程序应用后再配置。
+
+首次测试部署只要求 `POSTGRES_PASSWORD`；源码下载使用工作流内置的 Gitea job token。
 
 Variables：
 
@@ -46,7 +47,7 @@ Variables：
 
 ### 两个前端
 
-每个仓库配置 `GITEA_TOKEN` Secret、`API_BASE_URL` Variable；综合版默认 `DEPLOY_PORT=3001`，独立版默认 `DEPLOY_PORT=3002`。
+每个仓库可配置 `API_BASE_URL` Variable；综合版默认 `DEPLOY_PORT=3000`，独立版默认 `DEPLOY_PORT=3002`。
 
 ## 永久运行保证
 
@@ -64,4 +65,3 @@ Variables：
 - 配置 App ID/Secret，确认真实 `xhs.login -> code2Session` 后关闭测试登录。
 - 在开发者工具和真机检查 Canvas 海报、相册权限、长名称、轮空赛程与网络失败重试。
 - 根据平台审核要求补齐隐私政策、用户数据删除入口和客服联系方式。
-