refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

app/api/note/auth/dev-link/route.ts

@@ -27,7 +27,7 @@ export async function GET(request: Request): Promise<Response> {
   const file = url.searchParams.get("file") ?? "";
   const mode = url.searchParams.get("mode") === "ticket" ? "ticket" : "jwt";
   // ชื่อไฟล์ตัวอย่างเท่านั้น — ห้าม path segment/.. (การมีไฟล์จริงตรวจตอน register
-  // ใน exchange ของ /api/note/auth/session อยู่แล้ว)
+  // ใน exchange ของ /api/auth/session อยู่แล้ว)
   if (
     file === "" || file.length > 200 ||
     file.includes("/") || file.includes("\\") || file.includes("..")

app/api/note/auth/session/route.ts

@@ -1,134 +0,0 @@
-// POST /api/note/auth/session — แลก credential ของลิงก์ e-Court เป็น access_token
-// (ฉบับ token 2026-10-30 ตามคำขอผู้ใช้ "note ใช้แบบ add-in" — แทน GET e-court ที่
-// set cookie คู่ oacCase ซึ่งถอดแล้ว): body {t | ticket_data+HmacSha256, fileUrl?,
-// typeId?} → verify → ลงทะเบียนเอกสาร N8 แบบ trusted ฝั่ง server เลย (fileId จาก
-// fid ที่เซ็นมา — ไม่ต้องมี link proof อีก) → ออก login-token อายุ NOTE_SESSION_TTL
-// (8 ชม.) ให้ client เก็บ localStorage "note-auth"
-// · 400 body ผิด · 401 {error, reason: expired|invalid} · 500 secret ไม่ตั้ง
-// · audit log เฉพาะ userid (strip อักขระควบคุม) — ห้าม log token/query ดิบ
-import { NextResponse } from "next/server";
-import { eq } from "drizzle-orm";
-
-import { db } from "@/db";
-import { files } from "@/db/schema";
-import { addinTicketSecret, verifyAddinTicket } from "@/lib/addin-ticket";
-import { issueDocverToken, verifyDocverLoginToken } from "@/lib/docver-token";
-import { ecourtExternalId } from "@/lib/ecourt-fid";
-import { registerExternalFile } from "@/lib/external-import";
-import { parseSessionExchangeBody } from "@/lib/note-auth";
-import { NOTE_SESSION_TTL } from "@/lib/note-token";
-import { hasStagedDoc, isStagedSource } from "@/lib/staged-docs";
-
-export const runtime = "nodejs";
-export const dynamic = "force-dynamic";
-
-function json(body: unknown, status = 200): NextResponse {
-  return NextResponse.json(body, { status, headers: { "cache-control": "no-store" } });
-}
-
-export async function POST(request: Request): Promise<Response> {
-  let raw: unknown;
-  try {
-    raw = await request.json();
-  } catch {
-    raw = null;
-  }
-  const parsed = parseSessionExchangeBody(raw);
-  if (!parsed.ok) return json({ error: parsed.error }, 400);
-
-  const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
-  if (secret === undefined || secret === "") {
-    console.error("[sso] DOCVER_TOKEN_SECRET ยังไม่ถูกตั้งค่า");
-    return json({ error: "ระบบยังไม่พร้อมให้เข้าสู่ระบบ" }, 500);
-  }
-
-  let identity: { userid: string; username: string; fid: string };
-  if (parsed.credential.kind === "jwt") {
-    const verified = verifyDocverLoginToken(parsed.credential.token, secret);
-    if (!verified.ok) {
-      return json(
-        { error: "ลิงก์เข้าสู่ระบบหมดอายุหรือไม่ถูกต้อง", reason: verified.reason },
-        401,
-      );
-    }
-    identity = verified.claims;
-  } else {
-    // ค่า default "super_secret" ของ addinTicketSecret() เป็นที่รู้กันทั้ง repo/
-    // .env.example — ใครก็ปลอม ticket ของ uid ใครก็ได้ จึงปฏิเสธใน production
-    // (fail-closed — กลุ่ม docver/add-in อนุญาต default ตาม requirement อยู่แล้ว
-    // คนละประตู) · **dev ยอมรับค่า default** เพื่อให้ทดสอบทาง ticket รอบเครื่องได้
-    // โดยไม่ต้องตั้ง env ใหม่ — เครื่องมือ dev (make-login-link/make-ticket-docx/
-    // dev-link) ก็ default ค่าเดียวกัน (review 2026-10-30 รอบสอง)
-    if (process.env.NODE_ENV === "production" && addinTicketSecret() === "super_secret") {
-      console.error("[sso] ticket secret ยังเป็นค่า default (ADDIN_TICKET_SECRET/SECRET) — ปฏิเสธทาง ticket");
-      return json({ error: "ระบบยังไม่พร้อมให้เข้าสู่ระบบ" }, 500);
-    }
-    const verified = verifyAddinTicket(
-      parsed.credential.ticketData,
-      parsed.credential.hmacHex,
-      addinTicketSecret(),
-    );
-    if (!verified.ok) {
-      return json({ error: "ลิงก์เข้าสู่ระบบหมดอายุหรือไม่ถูกต้อง", reason: "invalid" }, 401);
-    }
-    identity = { userid: verified.ticket.uid, username: verified.ticket.uname, fid: verified.ticket.fid };
-  }
-
-  // N8: ลงทะเบียนเอกสารตอนแลก token เลย — ฝั่ง server เชื่อ fid จาก credential
-  // ที่ verify แล้วเท่านั้น (trusted) ส่วน ?fileUrl พิมพ์เองบนหน้าเว็บไม่มีทาง
-  // เข้ามาถึงจุดนี้ · ล้ม = ยังออก token ให้ + fileError ให้หน้าแรกแสดง (คู่ขนาน
-  // พฤติกรรมสมัย cookie: session ตั้งก่อน แล้วค่อยแจ้ง error ของไฟล์)
-  let fileId: string | undefined;
-  let fileError: string | undefined;
-  if (parsed.fileUrl !== undefined) {
-    const result = await registerExternalFile(parsed.fileUrl, identity.fid, parsed.typeId, {
-      trusted: true,
-    });
-    if (result.ok) fileId = result.fileId;
-    else fileError = result.error;
-  } else {
-    // N11 (PLAN-STAGED.md D5): ลิงก์ fid-only (เอกสาร staging — เนื้อส่งมาทาง POST
-    // /api/note/files/stage แล้ว ลิงก์มีแค่ t=) — เช็คตั้งแต่ตอนแลก token เลย ไม่ปล่อย
-    // เข้า viewer ไปเจอ 410 เอง · ใช้ hasStagedDoc (ไม่ยืด TTL ไม่ถือ Buffer — การอ่าน
-    // จริงเกิดที่ viewer) · เอกสาร N8 ที่รู้จักแล้ว (pdf_url เป็น URL/path ปกติ) เข้าได้
-    // ทางเดียวกัน · ผู้ใช้ได้ token ตามปกติทุกกรณี
-    try {
-      const [row] = await db
-        .select()
-        .from(files)
-        .where(eq(files.externalId, ecourtExternalId(identity.fid)))
-        .limit(1);
-      if (!row) {
-        fileError = "เอกสารยังไม่ถูกส่งเข้าระบบ — กลับ e-Court กดลิงก์ใหม่";
-      } else if (isStagedSource(row.pdfUrl)) {
-        if (hasStagedDoc(row.pdfUrl)) fileId = row.id;
-        else fileError = "เอกสารพ้นช่วงจัดเตรียม — กลับ e-Court กดลิงก์ใหม่";
-      } else {
-        fileId = row.id;
-      }
-    } catch (err) {
-      console.error("[sso] ค้นเอกสารของ fid ล้ม", err);
-      fileError = "ค้นเอกสารไม่สำเร็จ — ลองอีกครั้ง";
-    }
-  }
-
-  const access_token = issueDocverToken(
-    { userid: identity.userid, username: identity.username, fid: identity.fid, template: null },
-    secret,
-    NOTE_SESSION_TTL,
-    "login",
-  );
-  // audit: เฉพาะ userid + เวลา — ห้าม log token/query ดิบ · strip อักขระควบคุม
-  // ก่อนพิมพ์ (claims ไม่จำกัด charset — กันฝัง \n ปลอมบรรทัด log)
-  const auditId = identity.userid.replace(/[\u0000-\u001f\u007f-\u009f]/g, "");
-  console.log(`[sso] e-Court login ok: userid=${auditId}`);
-  return json({
-    access_token,
-    token_type: "Bearer",
-    expires_in: NOTE_SESSION_TTL,
-    userid: identity.userid,
-    username: identity.username,
-    ...(fileId !== undefined ? { fileId } : {}),
-    ...(fileError !== undefined ? { fileError } : {}),
-  });
-}

app/api/note/auth/token/route.ts

@@ -1,48 +0,0 @@
-// PLAN-SSO.md §3.1 — POST /api/note/auth/token: เส้น mint login-token ของแอป note
-// (ทางเข้า x-api-key ตัวเดียวกับ docver แต่แยกเส้นจาก /api/documents/token — D1
-// contract docver ไม่ถูกแต้) — สำหรับ backend e-Court ประกอบลิงก์
-// `/note?…&t=<access_token>` ให้ผู้ใช้คลิก (ฉบับ token 2026-10-30: หน้าแรกเป็น
-// client bootstrap แลก credential เป็น session token ที่ /api/note/auth/session)
-// token ที่ได้เป็น purpose="login" ใช้ได้กับการเข้าแอป note เท่านั้น (D4)
-// ไม่ import @/db · ห้าม log ค่า key/body ดิบ
-import { docverError } from "@/lib/document-versioning";
-import { issueDocverToken, requireDocverApiKey } from "@/lib/docver-token";
-import { parseLoginTokenBody } from "@/lib/note-auth";
-
-export const runtime = "nodejs";
-export const dynamic = "force-dynamic";
-
-export async function POST(request: Request): Promise<Response> {
-  const apiKeyFail = requireDocverApiKey(request);
-  if (apiKeyFail !== null) return apiKeyFail;
-
-  let raw: unknown;
-  try {
-    raw = await request.json();
-  } catch {
-    return docverError("body ต้องเป็น JSON", 400);
-  }
-  const parsed = parseLoginTokenBody(raw);
-  if (!parsed.ok) return docverError(parsed.error, 400);
-
-  // ความผิด config ฝั่ง server ไม่ใช่ความผิดของผู้เรียก — ไม่ตั้ง = 500 (ห้าม log ค่า secret)
-  const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
-  if (secret === undefined || secret === "") {
-    return docverError("DOCVER_TOKEN_SECRET ยังไม่ถูกตั้งค่า", 500);
-  }
-
-  const accessToken = issueDocverToken(
-    { userid: parsed.claims.userid, username: parsed.claims.username, fid: parsed.claims.fid, template: null },
-    secret,
-    parsed.ttlSeconds,
-    "login",
-  );
-  return new Response(
-    JSON.stringify({
-      access_token: accessToken,
-      token_type: "Bearer",
-      expires_in: parsed.ttlSeconds,
-    }),
-    { headers: { "content-type": "application/json; charset=utf-8" } },
-  );
-}

app/api/note/files/stage/route.ts

@@ -4,7 +4,7 @@
 // disk/DB/MinIO แม้แต่ไบต์เดียว (annotation/bookmark เก็บถาวรตามระบบเดิม — row
 // files ที่ registerStagedFile สร้างคือ FK anchor)
 // · auth ก่อนแตะอะไรทั้งสิ้น: requireDocverApiKey (env DOCVER_API_KEY — กลุ่มเดียว
-//   กับทางเข้า mint POST /api/note/auth/token)
+//   กับทางเข้า mint purpose:"login" ของ POST /api/auth/token)
 // · อ่าน body แบบ stream นับไบต์ (Content-Length เป็น fast-path เท่านั้น — chunked
 //   ไม่มี header) + idle 60 วิ / total 10 นาที → 408 + concurrency จำกัด
 //   (STAGED_MAX_CONCURRENT default 1) → 429 — คืน slot/เคลียร์ timer ใน finally ทุกทางออก