fix(auth): recover refresh rotations and configure session lifetime

OPERATIONS.md

@@ -117,3 +117,12 @@ bash scripts/check-trial.sh
 该脚本执行本地自动化测试、race、静态检查及前后端构建，不启动容器、不安装依赖、不部署。需提前准备 Go/Node/npm 和前端依赖。可通过 `TEST_TMPDIR` 指定已存在的临时目录。面板构建单测已隔离真实磁盘空闲量；生产磁盘检查仍保留。`image/init-profile.test.mjs` 属于发布分支的 runtime 测试，不在 main 的检查脚本中运行。
 
 `scripts/test-panel.mjs` 必须指向独立测试部署，通过 `TEST_PANEL_URL`、`TEST_USERNAME`、`TEST_PASSWORD` 指定访问参数；`TEST_UPGRADE=1` 包含同镜像替换升级。运行前需由管理员通过 Git 发布构建准备已验证且准入的本地 runtime 镜像；可用 `TEST_FROM_VERSION` / `TEST_TO_VERSION` 选择源和目标版本。脚本不提交构建，只复用这些镜像，会创建及删除测试实例，删除时一并清理实例数据。不要对生产账号运行。`scripts/smoke-image.sh <image-id>` 和 `scripts/test-mobile-image.mjs <image-id>` 仅测试已有镜像的运行行为，不读取 main 的构建源；仅在隔离测试环境使用。旧构建脚本和构建后创建意图的 live 测试已删除。
+# Session lifetime
+
+Set `SESSION_TTL=24h` in `.env` (default), or `SESSION_TTL=168h` for seven days.
+Use Go duration units such as `h`, `m`, `s` (not `d`); the value must be a positive
+whole number of seconds. Recreate the panel container after changing it:
+`docker compose up -d --force-recreate panel`. New logins use the new lifetime;
+existing sessions retain their absolute expiry and refresh does not extend it.
+Access tokens remain valid for five minutes. `.env` is read by Docker Compose;
+when running the binary directly, export `SESSION_TTL` in its environment.