feat(backend): 限流/登录失败锁状态外置 Redis（todo #2）

新包 internal/ratelimit：内存/redis(GCRA+Lua) 双实现 + 出错逐调用降级内存
（fail-open 到内存不 fail-closed）。REDIS_ADDR 空=内存模式，行为与既往一致；
配置后跨重启保状态、支持多实例。miniredis 全覆盖测试，零真实外部依赖。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

backend/internal/service/auth_test.go

@@ -155,7 +155,7 @@ func TestLogin_AccountLockoutAfterMaxFailures(t *testing.T) {
 	testutil.CreateTestUser(db, shop.ID, "admin", "password123", "admin")
 	config.C.Session.MaxFailures = 3
 	svc := NewAuthService(db)
-	defer loginLim.reset("LOCK_ACC|admin")
+	defer loginLocker().Reset("LOCK_ACC|admin")
 
 	for i := 0; i < 3; i++ {
 		_, _, err := svc.Login("LOCK_ACC", "admin", "wrong", DeviceInfo{Platform: "windows", IP: "10.0.0.1"})
@@ -175,7 +175,7 @@ func TestLogin_IPLockoutAcrossAccounts(t *testing.T) {
 	config.C.Session.IPMaxFailures = 4
 	const attackIP = "203.0.113.9"
 	svc := NewAuthService(db)
-	defer loginLim.reset("ip|" + attackIP)
+	defer loginLocker().Reset("ip|" + attackIP)
 
 	// 4 次不同用户名（invalid_user），账号 key 各不相同永不锁；IP key 累计到 4 → 锁 IP。
 	for i := 0; i < 4; i++ {