新增空闲锁屏、修复401等问题，新增文件版本管理、共享库等占位符

docs/auth-session-acceptance.md

@@ -0,0 +1,31 @@
+# Auth Session Acceptance Checklist
+
+1) Active user 60 minutes without logout
+- 登录后持续操作 60 分钟，观察 token 多次 /auth/extend 且不会跳登录
+
+2) Auto-extend near expiry
+- 人工缩短 token 有效期或等待 exp < 2min
+- 保持操作，确认 /auth/extend 被调用且业务不中断
+
+3) Single-flight extend
+- 同时触发 10 个 API 请求
+- 仅出现 1 次 /auth/extend，其余请求自动重放成功
+
+4) Idle lock at 30 minutes
+- 30 分钟无鼠标/键盘/触摸/滚动且无任何请求
+- 出现锁屏，背景虚化，原页面状态保留
+
+5) Unlock success
+- 锁屏输入正确密码，解锁成功并继续原页面
+
+6) Unlock failure threshold
+- 连续错误密码 >= 5 次
+- 强制登出并跳登录页
+
+7) Extend failure to lock
+- 人为让 token 彻底过期，/auth/extend 返回 401
+- 不跳登录，进入锁屏并要求密码解锁
+
+8) 403 permission vs disabled
+- 权限不足接口返回 403 时不跳登录
+- /auth/extend 或 /auth/unlock 返回 403 时强制登出跳登录