refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

components/NoteHome.tsx

@@ -3,7 +3,8 @@
 // หน้าแรก /note — ข้อมูลเกี่ยวกับระบบ (2026-10-30 ตามคำขอผู้ใช้: ระบบทำอะไรได้ /
 // วิธีเข้าใช้) + bootstrap ของลิงก์ e-Court (contract ปลายทางลิงก์ยังชี้ที่นี่):
 // มี credential ใน URL (t หรือ ticket_data+HmacSha256 — จากลิงก์ที่ e-Court ชี้ตรงมา
-// ที่ /note) = แลกเป็น access_token ที่ POST /api/note/auth/session แล้วเก็บ
+// ที่ /note) = แลกเป็น access_token ที่ POST /api/auth/session (ทางเข้ารวม
+// 2026-11-09 — ย้ายมาเส้นสั้นจาก /api/note/auth/session) แล้วเก็บ
 // localStorage "note-auth" (แบบ add-in) → ตัด credential ออกจาก URL ทันที → มี fileId
 // = พาเข้า viewer / ไม่มี = แสดงหน้าข้อมูล · ไม่มี credential = หน้า public ธรรมดา
 // (แบนเนอร์ ?sso= ของลิงก์เก่า + fileError ยังรองรับ)
@@ -20,7 +21,7 @@ import {
 
 import AppNav from "@/components/AppNav";
 import { parseSsoLinkParams, ssoBanner, type SsoBanner } from "@/lib/note-auth";
-import { saveNoteSession } from "@/lib/note-session";
+import { noteExpMs, saveNoteSession } from "@/lib/note-session";
 import { withBasePath } from "@/utils/base-path";
 
 type Phase = "boot" | "exchanging" | "ready";
@@ -80,7 +81,7 @@ export default function NoteHome() {
       const timeoutId = window.setTimeout(() => controller.abort(), 45_000);
       void (async () => {
         try {
-          const res = await fetch(withBasePath("/api/note/auth/session"), {
+          const res = await fetch(withBasePath("/api/auth/session"), {
             method: "POST",
             headers: { "content-type": "application/json" },
             body: JSON.stringify(body),
@@ -110,7 +111,9 @@ export default function NoteHome() {
             token: access_token,
             userid,
             username,
-            expMs: Date.now() + expires_in * 1000,
+            // exp จาก JWT payload (นาฬิกา server) แม่นกว่า expires_in — fallback
+            // expires_in เมื่อ decode ไม่ได้
+            expMs: noteExpMs(access_token, expires_in),
           });
           if (fileError !== undefined) setFileError(fileError);
           if (fileId !== undefined) {