security(auth): P0 認證安全強化

- Token 過期時間設為 7 天（sanctum.php expiration）
- prune-expired 每日排程清除過期 token 記錄
- Google OAuth redirect 改用 URL fragment（#token=）避免 token 出現在 server log
- SocialAuthController env() 改 config() 修正 config:cache 下 redirect 失效問題
- 登入端點加 rate limiting：member/provider throttle:5,1，admin throttle:3,1
- axios/coachAxios 加 401 response interceptor，token 過期自動登出
- 修正 migration SQLite 相容性（MODIFY COLUMN），Feature tests 從 7 通過恢復至 41
- 新增 AuthRateLimitTest（5 tests）驗證各角色頻率限制行為

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

openspec/changes/archive/2026-06-02-auth-p0-hardening/specs/login-rate-limiting/spec.md

@@ -0,0 +1,20 @@
+## ADDED Requirements
+
+### Requirement: 登入頻率限制
+後端 SHALL 對所有登入端點套用 IP-based 頻率限制，超過限制時回傳 HTTP 429。Member 與 Provider 每 IP 每分鐘最多 5 次；Admin 因影響範圍更廣，限制為每 IP 每分鐘最多 3 次。
+
+#### Scenario: Member / Provider 正常登入不受影響
+- **WHEN** 同一 IP 在 1 分鐘內對 `/api/member/login` 或 `/api/provider/login` 送出 5 次以內的請求
+- **THEN** 請求正常處理，回傳對應的登入結果（200 成功或 401 失敗）
+
+#### Scenario: Member / Provider 超過頻率限制
+- **WHEN** 同一 IP 在 1 分鐘內送出第 6 次 member 或 provider 登入請求
+- **THEN** 回傳 HTTP 429，並帶有 `Retry-After` header 指示等待時間
+
+#### Scenario: Admin 超過頻率限制
+- **WHEN** 同一 IP 在 1 分鐘內送出第 4 次 `/api/admin/login` 請求
+- **THEN** 回傳 HTTP 429，並帶有 `Retry-After` header 指示等待時間
+
+#### Scenario: 頻率限制重置
+- **WHEN** 頻率限制觸發後等待 1 分鐘
+- **THEN** 該 IP 的請求計數重置，可再次正常送出登入請求