feat(auth): 新增 auth-refresh-token 模块（可轮换的 Refresh Token 登录会话）

[Charles7c]

变更类型

• 新特性（feat）
• 问题修复（fix）
• 功能优化（refactor / perf / chore / style）
• 文档变更（docs）
• 构建、CI 或依赖升级（build / ci）
• 测试（test）
• 其他

破坏性变更

• 本 PR 包含破坏性变更（BREAKING CHANGE），已在变更目的中说明影响与迁移方式

变更目的

从 continew-admin#229 的 continew-auth-refresh 模块抽取，落地为 starter 认证家族的新成员 continew-starter-auth-refresh-token，配合 continew-admin 4.2.0 发布（admin 侧将在后续 PR 中删除自有模块、切换为依赖本模块）。

为 Web、App 与小程序提供可轮换的 Refresh Token 登录态：缩短 Access Token 生命周期，过期后由 Refresh Token 安全恢复原登录会话，并支持跨端会话统一失效（强退、顶下线、密码修改、租户/客户端禁用）。

解决方案

会话模型（延续 admin#229 已评审设计）

• sessionId.secret 无状态令牌：服务端只存 secret 的 HMAC-SHA256 指纹并常量时间比对，Redis 泄露不暴露可用令牌
• 密钥由 HKDF-SHA256（RFC 5869）派生，隔离指纹密钥与快照加密密钥用途；AES-256-GCM 加密快照保证崩溃后可恢复同一组令牌
• R0→R1 原子轮换由指纹门禁完成，宽限期（默认 30 秒，覆盖弱网与小程序重试窗口）内并发/重复请求幂等返回首次结果
• 宽限期外的上一代令牌属于明确重放，撤销整个登录会话（OAuth 2.0 Security BCP / RFC 9700 §4.14）
• 统一撤销收敛于「策略锁 → 会话锁」固定顺序，撤销后经 Redisson RTopic 广播，其它实例子秒级关闭对应 WebSocket 连接
• Cookie 模式强制 Origin/Referer 白名单校验（含子域通配，通配正则用独占量词避免回溯），SameSite=None 必须配合 Secure
• 刷新限流默认使用连接对端地址，仅显式配置可信代理后解析 X-Forwarded-For（配置错误 fail-safe）
• RefreshTokenService.refresh() 固化四步安全契约（resolve → 限流 → 来源校验 → 轮换），避免业务方漏调用导致防护静默失效

抽取边界（本模块零业务实体依赖）

业务方提供	说明
RefreshSessionPrincipal	登录主体快照（用户/昵称/租户/IP/设备），登录时由业务方映射传入
RefreshAccessTokenIssuer	轮换回调中重新签发 Access Token 的适配点，返回 IssuedAccessToken
RefreshClientPolicy	客户端令牌策略（有效期/传输模式/并发数），与业务客户端模型解耦

模块返回统一的 RefreshIssueResult（含轮换幂等回放结果），由业务方映射为实际响应体；登录/刷新 HTTP 端点保留在业务系统侧。

Starter 化改造

• 配置前缀 continew-starter.refresh-token.*，经 AuthRefreshAutoConfiguration 自动装配，continew-starter.refresh-token.enabled 可整体关闭；装配顺序显式声明 after = RedissonAutoConfiguration（Redis 为硬性依赖，缺失时整体跳过而非启动失败）
• 多标签页推送能力下沉到 WebSocket 模块：WebSocketSessionDao 新增 listByKey 默认方法、WebSocketUtils 新增 sendMessageToAll，不改动既有 sendMessage 语义；认证模块以多标签页 DAO 接管默认实现，撤销时可全量关闭
• 未引入 Lombok，全手写 getter/setter，与项目一致；补齐 @author/@since 2.17.0 与 LGPL License Header；模块登记于 auth 聚合器、BOM、PropertiesConstants
• 新增禁止单行 Javadoc 的 Checkstyle 规则，并补齐 core/encrypt/json 模块存量注释

测试情况

• 新增模块自带 67 个单元测试（starter 仓库首批单元测试）：令牌轮换/重放、宽限期幂等、撤销与失效原因、Cookie 来源校验（含恶意 Origin 拒绝）、密钥隔离（HKDF）、多标签页 WebSocket 撤销、自动配置装配契约（缺 Redisson 时静默跳过）等场景，全部通过
• ./mvnw -B verify 全仓构建通过：Enforcer / Spotless / Checkstyle（0 violations）/ SpotBugs（0 BugInstance）四道门禁全绿
• admin 侧集成验证由后续 admin PR 配合 4.2.0 发布完成（本 PR 为纯新增模块，不影响现有使用方）

Changelog

模块	Changelog	Related issues
auth-refresh-token	新增可轮换的 Refresh Token 登录会话模块（轮换、重放保护、统一撤销、WebSocket 联动），配合 continew-admin 4.2.0	continew-admin#229
messaging-websocket	WebSocket 会话 DAO 支持多标签页：新增 listByKey 与 sendMessageToAll	-
checkstyle	新增禁止单行 Javadoc 规则，并补齐存量注释	-

提交前确认

• 一个 PR 只解决一个 Issue，不夹带无关改动
• 本地 ./mvnw verify 四道门禁全部通过（被 Spotless 拦截时使用 -Pformat 修复）
• 已完整填写 Changelog，并关联相关 Issue
• commit message 符合 Conventional Commits（约定式提交）规范
• 如包含 AI 生成的较大改动，相关 commit 已添加 Assisted-by: <智能体> 标记
• 已签署 CLA（首次贡献可在 PR 创建后按机器人提示完成签署）
• 目标分支正确：dev（新功能与优化）或 x.x.x 维护分支（仅 Bug 修复）

[sonarqubecloud]

Quality Gate passed

Issues
0 New issues
2 Accepted issues

Measures
0 Security Hotspots
0.0% Coverage on New Code
0.3% Duplication on New Code

See analysis details on SonarQube Cloud