refactor(auth): consolidate auth under /api/auth/* endpoints

- ยุบ route auth ที่เคย copy กันจน drift (flow N11 หายจาก /api/auth/session)
  เหลือโค้ด inline สองเส้นเดียว: POST /api/auth/token (ทางเข้า 3: x-api-key
  docver / x-api-key purpose:"login" mint ลิงก์ note / ticket ของ add-in)
  + POST /api/auth/session (แลก credential + register N8 + N11 fid-only)
- POST /api/documents/token คงไว้เป็น alias re-export (กลุ่ม docver/e-Court
  เดิม — contract เดิมเป๊ะ, มี test toBe กัน copy แยกชุดกลับมา)
- ถอดเส้นฝั่ง note ทั้งสอบ: /api/note/auth/token + /api/note/auth/session
  (e-Court ต้องย้ายมาทางเข้ารวม — แจ้งทีม e-Court ก่อน deploy)
- utils/auth-store.ts: primitives กลางฝั่ง client (jwtExp/isExpired/
  localStorage store + memory fallback) — lib/note-session ใช้ร่วม
  (expMs decode จาก JWT payload = นาฬิกา server) และวางไว้ให้ wordaddin
  ย้ายมาใช้รอบหน้าได้ (รอบนี้ไม่แต้ wordaddin ตามข้อตกลง)
- นโยบาย token หมดอายุกลาง session: PDFViewer reportActionError จับ
  auth-error ของ Server Action ทุกจุด → ล้าง session แล้วพาไป
  /note?sso=expired (จบที่ gate เดียวกับ bootstrap 401)
- openapi: ทางเข้า purpose:"login" + schema LoginTokenRequest + ลบ path
  เส้นที่ถอด + test กันเส้นตายหลุดค้างใน spec
- เอกสาร sync: PLAN-SSO §0.6, CLAUDE.md, PLAN-STAGED, .env.example, /note/dev
- tests: ย้าย/เพิ่มชุด auth (50 เคสกลุ่ม auth ผ่าน, ทั้งชุด 444 ผ่าน) +
  e2e ครบทั้ง API (mint/alias/ticket/404 เส้นเก่า/N11/D4) และ browser

Co-Authored-By: Claude Code <noreply@anthropic.com>

tests/lib/note-auth.test.ts

@@ -60,7 +60,7 @@ describe("parseSsoLinkParams (D12)", () => {
   });
 });
 
-describe("parseSessionExchangeBody (POST /api/note/auth/session)", () => {
+describe("parseSessionExchangeBody (POST /api/auth/session)", () => {
   it("t เดี่ยว + fileUrl/typeId ผ่าน — ได้ credential ทาง jwt", () => {
     const parsed = parseSessionExchangeBody({
       t: "a.b.c",

tests/lib/openapi.test.ts

@@ -40,12 +40,18 @@ describe("openApiSpec", () => {
     expect(broken).toEqual([]);
   });
 
-  it("กลุ่ม auth: path สั้น /api/auth/* ครบทั้งคู่ และ path เดิมที่เป็นต้นทางยังอยู่", () => {
+  it("กลุ่ม auth: /api/auth/* ครบทั้งคู่ + /api/documents/token (alias กลุ่ม docver) — เส้นของฝั่ง note ถอดแล้ว", () => {
     const paths = openApiSpec.paths as Record<string, unknown>;
     expect(paths["/api/auth/token"]).toBeDefined();
     expect(paths["/api/auth/session"]).toBeDefined();
-    // path เดิม (ที่ /api/auth/* alias มา) ต้องยัง document อยู่
     expect(paths["/api/documents/token"]).toBeDefined();
-    expect(paths["/api/note/auth/token"]).toBeDefined();
+    expect(paths["/api/note/auth/token"]).toBeUndefined();
+    expect(paths["/api/note/auth/session"]).toBeUndefined();
+  });
+
+  it("ไม่มีเส้น /api/note/auth/* (ถอดแล้ว 2026-11-09) หลุดค้างใน paths หรือ description ใด ๆ ของ spec", () => {
+    // JSON.stringify ทั้ง spec ครอบทุก description/example — จับชื่อเส้นตายได้ทุกจุด
+    // (regression จาก code review 2026-11-09 รอบสอง: คู่มือ next-step ของ stage route เคยชี้เส้นตาย)
+    expect(JSON.stringify(openApiSpec)).not.toContain("/api/note/auth/");
   });
 });