fix(auth): 将 web_login_confirm 移出 JWT scope，无需认证

登录码本身就是认证凭证，小程序确认时可能无有效 JWT。
改为无需 JWT，登录码 + openid 验证即可。

src/main.rs

@@ -97,11 +97,12 @@ fn create_server_config(
                 .service(get_favorites)             // #[get("/api/favorites")]
                 .service(add_favorite)             // #[post("/api/favorites/{id}")]
                 .service(remove_favorite)           // #[delete("/api/favorites/{id}")]
-                .service(web_generate_login_code)   // #[post("/api/web-login/code")]（需 JWT）
-                .service(web_login_confirm)         // #[post("/api/web-login/confirm")]（需 JWT）
         )
         // 健康检查
         .service(health_check)
+        // 网页登录（无需 JWT，登录码本身就是认证凭证）
+        .service(web_generate_login_code)  // POST /api/web-login/code（无需 JWT）
+        .service(web_login_confirm)        // POST /api/web-login/confirm（无需 JWT）
 }
 
 #[actix_web::main]