设备授权内核

面向本机智能开发工具（桌面工作台 / magic-stack）的设备授权。

注册设备

桌面 app 登录后调用 POST /api/devices/register（带用户 JWT），按 (用户, 设备指纹) upsert 设备，返回：

• access JWT（24h，含 device / scope:"magic-stack" claim）—— CLI 用于放行。
• opaque refresh token（90d，服务端只存 SHA-256，明文仅返回一次）。

续期与吊销

POST /api/cli/refresh 轮换 refresh token，并做重用检测（旧 token 超 60s 宽限窗 复现 → 吊销设备，401 device_revoked）；账号被停用时返回 403 dev_disabled。

自助管理

登录后可通过以下端点管理本账号已注册的设备：

• GET /api/devices —— 列出本账号所有设备。
• DELETE /api/devices/:id —— 主动吊销某台设备。

端点详情见 API 参考 / 设备授权。