提交前确认

• 我确认已搜索已有 Issue，不存在重复建议
• 我确认该功能具有通用性，而非特定业务场景的定制需求
• 我确认这是 ContiNew App 自身的需求，而非依赖组件的需求
• 我确认已在最新版本上验证该功能暂不存在
• 我愿意提交 PR 实现该功能

功能描述

固化 Token 契约与失败路径，隔离演示与真实微信认证。目标版本 0.2.0；现有会话持久化、并发刷新合并与一次重试可复用。

建议方案

1. 固定 access/refresh Token、用户信息、有效期与错误语义。
2. 并发 401 只触发一次刷新，每请求最多重试一次；刷新失败、过期、网络失败与退出统一清理，回跳安全。
3. 演示认证受环境开关控制；生产模式禁止静默回退，也不接受任意非空 code/refreshToken。
4. 真实接入由服务端调用 code2Session，客户端不包含 AppSecret。

备选方案

附加信息

验收标准

• 并发 401 只刷新一次，每请求最多重试一次，无循环与重复副作用。
• 刷新失败、无效/过期、网络失败、退出清理一致；重复登录无旧会话污染。
• 单元/接口覆盖成功与各类失败；真实 provider 未交付时生产用例不标通过。
• 凭据仅在服务端；三端（App / 微信小程序 / H5）持久化与重启恢复有记录。

依赖

#6 组件层同版本并行；#7 真实登录链路复用本契约；#1 汇总。