api-client 清 session 分支未按 auth 门控,导致一次性 code 被重放/过期(10102)时
误清刚建立的会话。宿主 iframe 首屏用同一 code 换两次时,第二次 10102 把第一次
存好的有效会话清空 → SessionExpired。改为仅「带 token 的受保护请求」失败才清;
公开端点失败交由 bootstrap / doRefresh 各自按语义决定,兜底 fall-through 生效。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>