feat: 系统全面优化 - 设备管理/登录日志导出/性能监控/设置页面

后端：
- 新增全局设备管理 API（DeviceHandler.GetAllDevices）
- 新增登录日志导出功能（LogHandler.ExportLoginLogs, CSV/XLSX）
- 新增设置服务（SettingsService）和设置页面 API
- 设备管理支持多条件筛选（状态/信任状态/关键词）
- 登录日志支持流式导出防 OOM
- 操作日志支持按方法/时间范围搜索
- 主题配置服务（ThemeService）
- 增强监控健康检查（Prometheus metrics + SLO）
- 移除旧 ratelimit.go（已迁移至 robustness）
- 修复 SocialAccount NULL 扫描问题
- 新增 API 契约测试、Handler 测试、Settings 测试

前端：
- 新增管理员设备管理页面（DevicesPage）
- 新增管理员登录日志导出功能
- 新增系统设置页面（SettingsPage）
- 设备管理支持筛选和分页
- 增强 HTTP 响应类型

测试：
- 业务逻辑测试 68 个（含并发 CONC_001~003）
- 规模测试 16 个（P99 百分位统计）
- E2E 测试、集成测试、契约测试
- 性能基准测试、鲁棒性测试

全面测试通过（38 个测试包）

internal/service/auth.go

@@ -480,7 +480,10 @@ func (s *AuthService) writeLoginLog(
 	}
 
 	go func() {
-		if err := s.loginLogRepo.Create(context.Background(), loginRecord); err != nil {
+		// 使用带超时的独立 context，防止日志写入无限等待
+		bgCtx, cancel := context.WithTimeout(context.Background(), 5*time.Second)
+		defer cancel()
+		if err := s.loginLogRepo.Create(bgCtx, loginRecord); err != nil {
 			log.Printf("auth: write login log failed, user_id=%v login_type=%d err=%v", userID, loginType, err)
 		}
 	}()
@@ -548,6 +551,11 @@ func (s *AuthService) bestEffortRegisterDevice(ctx context.Context, userID int64
 	_, _ = s.deviceService.CreateDevice(ctx, userID, createReq)
 }
 
+// BestEffortRegisterDevicePublic 供外部 handler（如 SMS 登录）调用，安静地注册设备
+func (s *AuthService) BestEffortRegisterDevicePublic(ctx context.Context, userID int64, req *LoginRequest) {
+	s.bestEffortRegisterDevice(ctx, userID, req)
+}
+
 func (s *AuthService) cacheUserInfo(ctx context.Context, user *domain.User) {
 	if s == nil || s.cache == nil || user == nil {
 		return
@@ -757,7 +765,8 @@ func (s *AuthService) RefreshToken(ctx context.Context, refreshToken string) (*L
 		return nil, errors.New("auth service is not fully configured")
 	}
 
-	claims, err := s.jwtManager.ValidateRefreshToken(strings.TrimSpace(refreshToken))
+	refreshToken = strings.TrimSpace(refreshToken)
+	claims, err := s.jwtManager.ValidateRefreshToken(refreshToken)
 	if err != nil {
 		return nil, err
 	}
@@ -773,6 +782,18 @@ func (s *AuthService) RefreshToken(ctx context.Context, refreshToken string) (*L
 		return nil, err
 	}
 
+	// Token Rotation: 使旧的 refresh token 失效，防止无限刷新
+	if s.cache != nil {
+		blacklistKey := tokenBlacklistPrefix + claims.JTI
+		// TTL 设置为 refresh token 的剩余有效期
+		if claims.ExpiresAt != nil {
+			remaining := claims.ExpiresAt.Time.Sub(time.Now())
+			if remaining > 0 {
+				_ = s.cache.Set(ctx, blacklistKey, "1", 5*time.Minute, remaining)
+			}
+		}
+	}
+
 	return s.generateLoginResponse(ctx, user, claims.Remember)
 }