登录会话管理

登录有效期默认 7 天，无活动超时 12 小时。会话令牌在浏览器端为随机字符串， 数据库中只保存其 SHA-256 哈希，不保存明文令牌。