Refactor authentication flow and ticket handling in add-in

- Removed client-side HMAC verification; server now handles all HMAC checks.
- Updated ticket processing logic to improve UX and security.
- Adjusted API request handling to return discriminated results based on HTTP status.
- Enhanced error messages for better clarity on authentication failures.
- Added unit tests for the new token endpoint to ensure compliance with updated contract.
- Cleaned up unused code and comments related to previous HMAC handling.

tests/wordaddin/versioningService.test.ts

@@ -5,7 +5,7 @@
 //   templateId — identity มาจาก Bearer หมด · และห้ามส่ง fields — server แกะจากไฟล์เอง
 //   2026-10-30), getVersions แปลง DTO, getDownloadLink ใส่ ?format=
 // - โหมด ?addindemo: ใช้ mock ในเครื่อง (ไม่ยิง network เลย)
-import { createHmac, webcrypto } from "node:crypto";
+import { createHmac } from "node:crypto";
 import { afterEach, describe, expect, it, vi } from "vitest";
 
 import * as authService from "@/wordaddin/services/authService";
@@ -20,7 +20,6 @@ const TOKEN = "header.payload.sig"; // ค่าหยง ๆ ก็ได้
 
 /** sign-in จริงผ่าน signInWithTicket (fetch ตอบ token 1 ครั้ง) — real mode + มี Bearer ใน session */
 async function signInReal(): Promise<void> {
-  vi.stubGlobal("crypto", webcrypto); // jsdom ไม่มี crypto.subtle
   const ticket = {
     exp: Math.floor(Date.now() / 1000) + 300,
     fid: "REAL_FID_001",