fix(auth): 令牌到期自动续上，不再用半小时就被踢回登录页

服务端一直签 access（30 分钟）和 refresh（14 天）两个令牌，但两个客户端拿到 401 都是直接清
令牌跳登录页，refresh 从来没被用过——"14 天有效"只是纸面参数，真实寿命就是 30 分钟。

- web/client.ts：请求前剩不到 90 秒先换；撞 401 先换再重放一次原请求；并发共用一次刷新；
  上传附件同一条路
- android/Api.kt：call 拆 call/callOnce，2002 时用 Mutex 串行刷新后重放
- 后端 /auth/refresh 看一眼账号状态：停用的账号不能靠 refresh 一直续（2012）
- 新增 session-refresh.mjs：假 access + 真 refresh 要能留住人，两个都假才回登录页

backend/app/api/auth.py

@@ -240,8 +240,14 @@ async def login_password(body: PasswordLoginIn, session: SessionDep) -> dict:
 
 
 @router.post("/refresh", summary="刷新访问令牌")
-async def refresh(body: RefreshIn) -> dict:
+async def refresh(body: RefreshIn, session: SessionDep) -> dict:
     user_id = decode_token(body.refresh_token, "refresh")
+    # 换令牌时也看一眼账号状态：停用的账号不该靠 refresh 一直续下去
+    user = await session.get(AppUser, user_id)
+    if user is None:
+        raise AppError(ErrorCode.UNAUTHORIZED, "账号不存在")
+    if user.status != "active":
+        raise AppError(ErrorCode.ACCOUNT_DISABLED, "账号已停用，请联系管理员")
     tokens = create_token_pair(user_id)
     # 这里的形状保持扁平（不带 tokens 信封），老客户端与安卓端都按这个取
     return ok(_tokens_out(tokens))