认证 auth

POST /api/auth/register

注册新账号。

请求体（JSON）

字段	类型	说明
email	string	邮箱
password	string	密码

响应 201

{
  "token": "<JWT>",
  "user": { "id": "...", "email": "..." }
}

限流：1 小时内同 IP + 邮箱最多 5 次。

---

POST /api/auth/login

登录，返回用户 JWT。

请求体（JSON）

字段	类型	说明
email	string	邮箱
password	string	密码

响应 200

{
  "token": "<JWT>",
  "user": { "id": "...", "email": "..." }
}

限流：15 分钟内同 IP + 邮箱最多 10 次。

---

GET /api/me

获取当前用户信息及所属组织列表。

鉴权：需 Authorization: Bearer <JWT>

响应 200

{
  "user": { "id": "...", "email": "..." },
  "orgs": [{ "id": "...", "name": "..." }]
}

---

OAuth 授权码（浏览器统一登录）

用于桌面 app / 内部服务之间安全传递登录态，避免直接传递 JWT。

POST /api/auth/code

签发一次性授权码。

鉴权：需 Authorization: Bearer <JWT>

响应 201

{ "code": "<一次性 code>" }

POST /api/auth/code/exchange

兑换授权码为用户 JWT（公开接口，单次有效）。

请求体（JSON）

字段	类型	说明
code	string	由 /api/auth/code 签发的一次性码

响应 200

{ "token": "<JWT>" }