costcodev
1df6e7fa83
替换 BIZ-110 Bearer token 模式 → 方案 C（cookie session + 账号密码）：
- AUTH_STORAGE_KEY: 'lotto_api_token' → 'lotto_username'
- getToken/setToken → getUsername/setUsername（localStorage 只存用户名供 UI 提示）
- isLoggedIn() 改为检查 cookie 'lotto_session' 存在性（HttpOnly JS 读不到，仅作为 UI 优化）
- api() 去掉 Authorization: Bearer 注入；改用 fetch 的 credentials: 'same-origin' 让浏览器自动带 cookie
- loginOverlay: 单 token 输入框 → username + password 双输入框
- handleLoginSubmit: POST /api/auth/login + 处理 account_locked / rate_limited 等 code
- logout(): POST /api/auth/logout 吊销 session，再清本地 username
- bootstrap(): 启动时调 /api/auth/me 验证会话有效性
安全要点：
- HttpOnly cookie 防 XSS 读取（即使有 XSS 漏洞，攻击者也拿不到 session）
- 401 → 清 username + 跳登录页（api() 统一处理）
- logout() 走服务端吊销，防止 cookie 被持久化复用
依赖：commit 44f46a0 的 auth_api 蓝图 + Flask-Limiter 集成。
Co-authored-by: multica-agent <github@multica.ai>