会话流程
SignIn 返回短期访问令牌并设置刷新 Cookie；GetCurrentUser 使用 Bearer 访问令牌或 PAT。RefreshToken 读取刷新 Cookie 并轮换会话，不从 JSON 读取刷新令牌。SignOut 要求认证并清除 Cookie；撤销 PAT 是独立的 UserService 操作。浏览器客户端必须在登录和刷新之间保留 Cookie。
SignIn 返回短期访问令牌并设置刷新 Cookie；GetCurrentUser 使用 Bearer 访问令牌或 PAT。RefreshToken 读取刷新 Cookie 并轮换会话，不从 JSON 读取刷新令牌。SignOut 要求认证并清除 Cookie；撤销 PAT 是独立的 UserService 操作。浏览器客户端必须在登录和刷新之间保留 Cookie。