fix(auth): 会话失效告警只对真·嵌入/换票失败推,直接访问不再误报

现象:直接浏览器打开 /plans(无 code、非嵌入)也推 [PAC CRITICAL],且根因误判成
"code 到手即死"(其实压根没 code)。
- 告警门控:仅 hadCode=true 或 isEmbedded=true 才推;直接非嵌入访问只落日志。
- freshButDead 根因加 hadCode=true 前置(没 code 不判时间差);
  新增"嵌入内 URL 无 code"分支。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>