chore: release server-v1.0.56

会话/设备管理后端：user_sessions 会话表、JWT 加 sid 校验、按平台类限并发登录、
登录失败锁定、修复禁用账号仍可凭 refresh 续期漏洞、/auth/ping、/auth/logout、
GET /sessions、DELETE /sessions/:id（管理员强制下线）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/config/config.go

@@ -13,6 +13,7 @@ type Config struct {
 	JWT      JWTConfig
 	License  LicenseConfig
 	Storage  StorageConfig
+	Session  SessionConfig
 }
 
 type ServerConfig struct {
@@ -39,6 +40,15 @@ type LicenseConfig struct {
 	Ed25519PrivateKey string `mapstructure:"ed25519_private_key"` // base64 Ed25519 private key for token signing (keep in Bitwarden)
 }
 
+// SessionConfig 登录会话与并发限制（全局默认，可被每店 session_policy 覆盖）。
+type SessionConfig struct {
+	LimitDesktop int `mapstructure:"limit_desktop"` // 桌面端(win/mac/linux)最大并发会话，0=禁止
+	LimitMobile  int `mapstructure:"limit_mobile"`  // 移动端(android/ios)最大并发会话，0=禁止
+	LimitWeb     int `mapstructure:"limit_web"`     // web 端最大并发会话，0=禁止
+	MaxFailures  int `mapstructure:"max_failures"`  // 连续登录失败几次后锁定
+	LockMinutes  int `mapstructure:"lock_minutes"`  // 锁定时长（分钟）
+}
+
 type StorageConfig struct {
 	UploadDir string `mapstructure:"upload_dir"`
 	BaseURL   string `mapstructure:"base_url"`
@@ -75,6 +85,11 @@ func Load() {
 	viper.SetDefault("server.cors_origin", "*")
 	viper.SetDefault("jwt.access_expire_min", 60)
 	viper.SetDefault("jwt.refresh_expire_h", 168) // 7天
+	viper.SetDefault("session.limit_desktop", 2)
+	viper.SetDefault("session.limit_mobile", 2)
+	viper.SetDefault("session.limit_web", 2) // 默认不禁 web（官网挂着 Web 版 app）；设 0 可禁
+	viper.SetDefault("session.max_failures", 5)
+	viper.SetDefault("session.lock_minutes", 15)
 	viper.SetDefault("database.max_idle_conns", 10)
 	viper.SetDefault("database.max_open_conns", 100)
 	viper.SetDefault("storage.upload_dir", "./uploads/images")