feat: App→网页免登录（一次性换票 SSO）——移动/桌面点链接直达已登录官网

- backend：POST /auth/web-ticket（需登录，签 60s 单次票据，每用户限频）+
  POST /auth/web-ticket/exchange（公开，原子即焚兑换正常登录态，响应同
  /auth/login 另带 shop_code）；web_tickets 新表 + user_sessions.kind 列
  （sso 会话：web 平台、refresh 12h 硬到期、不占设备并发配额、设备管理可见
  可踢）；清理任务顺带清过期票据；schema.sql/AutoMigrate/testutil 同步
- web：/sso 落地页——兑票写入与 Web 版共享的 localStorage 后跳 redirect；
  redirect 白名单只收本站相对路径（防 open redirect），票据即时从地址栏抹除
- client：launchAuthedWebPath(ref, path) 封装（签票→拼 /sso URL→launchUrl，
  失败降级未登录直开；桌面/移动同一套）；授权面板「查看套餐价格」接入

test(backend): web_ticket_test 三用例（兑换+续期/单次即焚/过期拒绝/
sso 不占配额双向验证）

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

backend/schema/schema.sql

@@ -71,9 +71,10 @@ CREATE TABLE IF NOT EXISTS `user_sessions` (
   `created_at`     DATETIME        NOT NULL DEFAULT CURRENT_TIMESTAMP,
   `last_seen_at`   DATETIME        NOT NULL DEFAULT CURRENT_TIMESTAMP,
   `revoked_at`     DATETIME        DEFAULT NULL,
-  `revoked_reason` VARCHAR(30)     DEFAULT NULL COMMENT 'kicked|logout|admin|disabled|reuse|pwd_reset',
+  `revoked_reason` VARCHAR(30)     DEFAULT NULL COMMENT 'kicked|logout|admin|disabled|reuse|pwd_reset|relogin',
   `revoked_by`     BIGINT UNSIGNED DEFAULT NULL COMMENT '吊销操作人 user_id；系统/自助吊销为 NULL',
   `refresh_exp_at` DATETIME        DEFAULT NULL,
+  `kind`           VARCHAR(10)     DEFAULT 'login' COMMENT 'login=正常登录；sso=App换票的网页短时会话（不计设备配额）',
   PRIMARY KEY (`id`),
   UNIQUE KEY `uk_session_sid` (`sid`),
   KEY `idx_session_shop_user` (`shop_id`, `user_id`),
@@ -596,4 +597,20 @@ CREATE TABLE IF NOT EXISTS `feedbacks` (
   KEY `idx_status` (`status`)
 ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='用户意见反馈';
 
+-- ------------------------------------------------------------
+-- App→网页免登录一次性换票（magic-link；TTL 60s 单次可用，used_at 原子置位防重放）
+-- ------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS `web_tickets` (
+  `id`         BIGINT UNSIGNED NOT NULL AUTO_INCREMENT,
+  `ticket`     VARCHAR(64)     NOT NULL,
+  `shop_id`    BIGINT UNSIGNED NOT NULL,
+  `user_id`    BIGINT UNSIGNED NOT NULL,
+  `expires_at` DATETIME        NOT NULL,
+  `used_at`    DATETIME        DEFAULT NULL,
+  `created_at` DATETIME        NOT NULL DEFAULT CURRENT_TIMESTAMP,
+  PRIMARY KEY (`id`),
+  UNIQUE KEY `uk_web_ticket` (`ticket`),
+  KEY `idx_web_ticket_expires` (`expires_at`)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='App→网页免登录一次性票据';
+
 SET FOREIGN_KEY_CHECKS = 1;