refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

tests/api/auth-session-staged.test.ts

@@ -10,15 +10,16 @@ vi.mock("@/db", async () => {
 });
 
 // import หลัง vi.mock — @/db ถูกแทนก่อน
-import { POST } from "@/app/api/note/auth/session/route";
+import { POST } from "@/app/api/auth/session/route";
 import { issueDocverToken } from "@/lib/docver-token";
 import { ecourtExternalId } from "@/lib/ecourt-fid";
 import { __clearStagedDocsForTest, putStagedDoc } from "@/lib/staged-docs";
 
 // PLAN-STAGED.md D5 — ลิงก์ fid-only (body มีแค่ t=): 4 branch ของการเช็ค staging
 // ตั้งแต่ตอนแลก token · ใช้ hasStagedDoc จริงของ lib/staged-docs (ไม่ยืด TTL)
+// (2026-11-09: ย้ายมา /api/auth/session ทางเข้าเดียว — /api/note/auth/session ถอดแล้ว)
 
-const URL_ = "http://localhost/docedit/api/note/auth/session";
+const URL_ = "http://localhost/docedit/api/auth/session";
 const FID = "F-STAGED-1";
 const FILE_ID = "0d7e6a52-9a71-4d40-bd1c-b2e1a44ab133";
 const PDF_BYTES = Buffer.from("%PDF-1.7 เอกสาร staging");