refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

tests/api/auth-session-staged.test.ts

@@ -0,0 +1,104 @@
+import { afterEach, beforeEach, describe, expect, it, vi } from "vitest";
+
+import { createDbMock, createDbMockState, dbMockStateFromGlobal, type DbMockRow } from "../helpers/db-mock";
+
+vi.mock("@/db", async () => {
+  const { createDbMock, createDbMockState } = await import("../helpers/db-mock");
+  const state = createDbMockState();
+  (globalThis as unknown as { __dbMockState: unknown }).__dbMockState = state;
+  return { db: createDbMock(state) };
+});
+
+// import หลัง vi.mock — @/db ถูกแทนก่อน
+import { POST } from "@/app/api/auth/session/route";
+import { issueDocverToken } from "@/lib/docver-token";
+import { ecourtExternalId } from "@/lib/ecourt-fid";
+import { __clearStagedDocsForTest, putStagedDoc } from "@/lib/staged-docs";
+
+// PLAN-STAGED.md D5 — ลิงก์ fid-only (body มีแค่ t=): 4 branch ของการเช็ค staging
+// ตั้งแต่ตอนแลก token · ใช้ hasStagedDoc จริงของ lib/staged-docs (ไม่ยืด TTL)
+// (2026-11-09: ย้ายมา /api/auth/session ทางเข้าเดียว — /api/note/auth/session ถอดแล้ว)
+
+const URL_ = "http://localhost/docedit/api/auth/session";
+const FID = "F-STAGED-1";
+const FILE_ID = "0d7e6a52-9a71-4d40-bd1c-b2e1a44ab133";
+const PDF_BYTES = Buffer.from("%PDF-1.7 เอกสาร staging");
+
+function stagedRow(pdfUrl: string): DbMockRow {
+  return { id: FILE_ID, title: "เอกสารทดสอบ", pdfUrl, externalId: ecourtExternalId(FID), typeId: null };
+}
+
+async function postSession(): Promise<Response> {
+  const token = issueDocverToken(
+    { userid: "u1", username: "ผู้ทดสอบ", fid: FID, template: null },
+    "test-secret",
+    300,
+    "login",
+  );
+  return POST(
+    new Request(URL_, {
+      method: "POST",
+      body: JSON.stringify({ t: token }),
+    }),
+  );
+}
+
+beforeEach(() => {
+  __clearStagedDocsForTest();
+  const state = dbMockStateFromGlobal();
+  state.rows = [];
+  state.rowsBySelect = [];
+  state.selectCalls = 0;
+  state.insertAttempts = [];
+  state.updates = [];
+  state.insertErrCode = null;
+  vi.stubEnv("DOCVER_TOKEN_SECRET", "test-secret");
+  vi.stubEnv("FID_HASH_PEPPER", "test-pepper");
+});
+
+afterEach(() => {
+  vi.unstubAllEnvs();
+});
+
+describe("D5 — ลิงก์ fid-only (ไม่มี fileUrl)", () => {
+  it("เจอ row staged + hasStagedDoc = true → ได้ fileId ไม่มี fileError", async () => {
+    dbMockStateFromGlobal().rows = [stagedRow(`staged:${FILE_ID}.pdf`)];
+    putStagedDoc(FILE_ID, PDF_BYTES, "pdf");
+    const res = await postSession();
+    expect(res.status).toBe(200);
+    const body = (await res.json()) as { access_token?: string; fileId?: string; fileError?: string };
+    expect(body.fileId).toBe(FILE_ID);
+    expect(body.fileError).toBeUndefined();
+    expect(typeof body.access_token).toBe("string");
+  });
+
+  it("เจอ row staged + hasStagedDoc = false (restart/TTL/evict) → fileError พ้นช่วงจัดเตรียม", async () => {
+    dbMockStateFromGlobal().rows = [stagedRow(`staged:${FILE_ID}.pdf`)];
+    // ไม่ put — staging ว่าง
+    const res = await postSession();
+    expect(res.status).toBe(200);
+    const body = (await res.json()) as { access_token?: string; fileId?: string; fileError?: string };
+    expect(body.fileId).toBeUndefined();
+    expect(body.fileError).toBe("เอกสารพ้นช่วงจัดเตรียม — กลับ e-Court กดลิงก์ใหม่");
+    // ผู้ใช้ยังได้ token ตามปกติ
+    expect(typeof body.access_token).toBe("string");
+  });
+
+  it("เจอ row ที่ pdf_url เป็น URL ปกติ (เอกสาร N8 แบบเดิม) → ได้ fileId", async () => {
+    dbMockStateFromGlobal().rows = [stagedRow("https://admincourt.go.th/doc.pdf")];
+    const res = await postSession();
+    expect(res.status).toBe(200);
+    const body = (await res.json()) as { fileId?: string; fileError?: string };
+    expect(body.fileId).toBe(FILE_ID);
+    expect(body.fileError).toBeUndefined();
+  });
+
+  it("ไม่เจอ row → fileError ยังไม่ถูกส่งเข้าระบบ (token ออกตามปกติ)", async () => {
+    dbMockStateFromGlobal().rows = [];
+    const res = await postSession();
+    expect(res.status).toBe(200);
+    const body = (await res.json()) as { fileId?: string; fileError?: string };
+    expect(body.fileId).toBeUndefined();
+    expect(body.fileError).toBe("เอกสารยังไม่ถูกส่งเข้าระบบ — กลับ e-Court กดลิงก์ใหม่");
+  });
+});