fix(auth): token 刷新改为单飞，避免并发 401 把用户踢回登录页

后端每次刷新都会轮换 refresh token 并撤销旧的。页面打开时往往有多个请求
同时发出，access token 一过期就一起 401；各自去刷新的话第二个会拿着已作废
的 refresh token 失败，导致「每次进来都要重新登录」。

改为同一时刻只发一次刷新请求，其余调用共享同一个 Promise，刷新结束后用
新 token 重试原请求。同时把返回的 refresh_token 存下来。

另：只有 401（刷新也失败）才清除登录态，断网、后端 5xx 这类临时故障保留
登录态等重试，不再直接把人踢回登录页。