refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

lib/note-session.ts

@@ -1,11 +1,14 @@
 // session ของแอป note ฝั่ง client (ฉบับ token 2026-10-30 ตามคำขอผู้ใช้ "note ใช้
 // แบบ add-in" — pattern เดียวกับ wordaddin/services/authService): access_token
-// + identity เก็บใน localStorage ("note-auth") หลังแลกจาก POST /api/note/auth/
-// session · การเรียก API ของแอปผ่าน noteAuthFetch แนบ Authorization: Bearer
-// อัตโนมัติ · token หมดอายุแล้วถือว่าไม่มี session (ล้างทิ้ง) — localStorage อาจ
-// โยน (private mode/quota) ทุกจุดจึง try/catch
+// + identity เก็บใน localStorage ("note-auth") หลังแลกจาก POST /api/auth/session
+// (2026-11-09 — ย้ายมาเส้นสั้น, ทางเข้ารวมของระบบ) · การเรียก API ของแอปผ่าน
+// noteAuthFetch แนบ Authorization: Bearer อัตโนมัติ · token หมดอายุแล้วถือว่า
+// ไม่มี session (ล้างทิ้ง — token ที่ตายแล้วไม่มีทางฟื้น browser ไม่มี ticket
+// ให้ renew ต้องกลับ e-Court กดลิงก์ใหม่) · storage โยน (private mode/quota) มี
+// memory fallback ผ่าน utils/auth-store
 //
 // client-only — ห้าม import จาก server component/module ฝั่ง server
+import { createAuthStore, isExpired, jwtExp } from "@/utils/auth-store";
 import { withBasePath } from "@/utils/base-path";
 
 export type NoteSession = {
@@ -16,12 +19,34 @@ export type NoteSession = {
   expMs: number;
 };
 
-const STORAGE_KEY = "note-auth";
+const store = createAuthStore("note-auth");
+
+/** message sentinel ของ requireUser (app/actions/annotations.ts) — Server Action
+ *  throw ข้าม network เหลือ message อย่างเดียว จึงตรวจด้วย prefix ของข้อความ */
+const AUTH_EXPIRED_SENTINEL = "session หมดอายุหรือไม่ถูกต้อง";
+
+/** action/API ล้มเพราะ token หมดอายุ/ไม่ผ่าน (เทียบ message ของ requireUser) —
+ *  caller (PDFViewer) จับได้ = ล้าง session แล้วพาไปหน้า gate ไม่ปล่อย error ค้าง */
+export function isNoteAuthExpiredError(err: unknown): boolean {
+  return (
+    err instanceof Error && err.message.startsWith(AUTH_EXPIRED_SENTINEL)
+  );
+}
+
+/** exp (มิลลิวินาที) ของ session ใหม่ — decode จาก JWT payload (นาฬิกา server
+ *  แม่นกว่า expires_in ที่คำนวณจากนาฬิกา client) · fallback expires_in เมื่อ decode
+ *  ไม่ได้ · expires_in ผิดปกติ (undefined/Infinity — NaN จะทำ isExpired เป็น false
+ *  เสมอจน session ไม่ตายตามอายุ) = คืน 0 ให้ถือว่าหมดอายุทันทีแทนค่าขยะ */
+export function noteExpMs(token: string, expires_in: number): number {
+  const exp = jwtExp(token);
+  if (exp !== undefined) return exp * 1000;
+  return Number.isFinite(expires_in) ? Date.now() + expires_in * 1000 : 0;
+}
 
 export function readNoteSession(): NoteSession | null {
+  const raw = store.readRaw();
+  if (raw === null) return null;
   try {
-    const raw = window.localStorage.getItem(STORAGE_KEY);
-    if (raw === null) return null;
     const parsed = JSON.parse(raw) as Partial<NoteSession> | null;
     if (
       parsed === null ||
@@ -33,11 +58,11 @@ export function readNoteSession(): NoteSession | null {
       typeof parsed.username !== "string" ||
       typeof parsed.expMs !== "number"
     ) {
-      window.localStorage.removeItem(STORAGE_KEY);
+      store.remove();
       return null;
     }
-    if (parsed.expMs <= Date.now()) {
-      window.localStorage.removeItem(STORAGE_KEY);
+    if (isExpired(Math.floor(parsed.expMs / 1000))) {
+      store.remove();
       return null;
     }
     return parsed as NoteSession;
@@ -47,19 +72,11 @@ export function readNoteSession(): NoteSession | null {
 }
 
 export function saveNoteSession(session: NoteSession): void {
-  try {
-    window.localStorage.setItem(STORAGE_KEY, JSON.stringify(session));
-  } catch {
-    // private mode/quota — เงียบไว้: ผู้ใช้เข้าผ่านลิงก์ e-Court ใหม่ได้เสมอ
-  }
+  store.writeRaw(JSON.stringify(session));
 }
 
 export function clearNoteSession(): void {
-  try {
-    window.localStorage.removeItem(STORAGE_KEY);
-  } catch {
-    // ignore
-  }
+  store.remove();
 }
 
 /** fetch ของแอปพร้อม Bearer — path เป็น route API ของแอป ("/api/note/…")