api-client 清 session 分支未按 auth 门控,导致一次性 code 被重放/过期(10102)时 误清刚建立的会话。宿主 iframe 首屏用同一 code 换两次时,第二次 10102 把第一次 存好的有效会话清空 → SessionExpired。改为仅「带 token 的受保护请求」失败才清; 公开端点失败交由 bootstrap / doRefresh 各自按语义决定,兜底 fall-through 生效。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
