提交前确认

• 我确认已搜索已有 Issue，不存在重复建议
• 我确认该功能具有通用性，而非特定业务场景的定制需求
• 我确认这是 ContiNew App 自身的需求，而非依赖组件的需求
• 我确认已在最新版本上验证该功能暂不存在
• 我愿意提交 PR 实现该功能

功能描述

README Roadmap 列明「微信一键登录真实对接（code2Session）」。当前登录页的微信一键登录为演示态。本任务交付服务端真实链路：服务端调用 code2Session 换取 openid 并签发会话，客户端不持有 AppSecret。目标版本 0.2.0。

建议方案

1. packages/server 新增微信登录路由：code2Session → openid → 签发本系统 access/refresh Token，复用 #2 冻结的会话契约。
2. 环境开关区分演示认证与真实认证；生产模式禁止演示回退（与 #2 的验收一致）。
3. AppSecret 走服务端环境变量；apps/demo/.env.example 同步补充说明（红线 10）。
4. 微信开发者工具 + 真机各验证一次，留存登录成功证据。

备选方案

附加信息

验收标准

• AppSecret 仅存在于服务端环境变量，客户端产物中无密钥。
• 演示态与真实态可按环境切换，生产禁用演示回退。
• 小程序端真机一键登录成功，会话持久化与刷新符合 #2 契约。
• .env.example 同步更新，无真实凭据入库。

依赖

#2 会话契约冻结后实施；与 #1 版本基线关联。