Refactor authentication flow and ticket handling in add-in

- Removed client-side HMAC verification; server now handles all HMAC checks.
- Updated ticket processing logic to improve UX and security.
- Adjusted API request handling to return discriminated results based on HTTP status.
- Enhanced error messages for better clarity on authentication failures.
- Added unit tests for the new token endpoint to ensure compliance with updated contract.
- Cleaned up unused code and comments related to previous HMAC handling.

tests/utils/docver-ticket.test.ts

@@ -5,7 +5,6 @@ import {
   normalizeHexDigest,
   parseDocverTicket,
   parseTicketDataParam,
-  timingSafeEqualHex,
 } from "@/utils/docver-ticket";
 
 // PLAN-ADDIN-AUTH.md §4 — pure ล้วนไม่แตะ env/DB อะไรเลย
@@ -116,15 +115,6 @@ describe("normalizeHexDigest", () => {
   });
 });
 
-describe("timingSafeEqualHex", () => {
-  it("ค่าเท่ากัน = true ต่างกัน = false · ความยาวไม่เท่า = false ทันที", () => {
-    const a = "ab".repeat(32);
-    expect(timingSafeEqualHex(a, a)).toBe(true);
-    expect(timingSafeEqualHex(a, "cd".repeat(32))).toBe(false);
-    expect(timingSafeEqualHex(a, "ab")).toBe(false);
-  });
-});
-
 // parseTicketDataParam — query param `ticket_data` ของ GET /api/documents/latest:
 // ticket ก่อนเติม exp (server เติมตอน stamp) แต่บังคับ fid/uid/uname เพราะ
 // parseDocverTicket บังคับทั้งสามตอน add-in redeem — ขาด = ไฟล์ที่คืนไปเปิดไม่ได้