security: 后台登录态可吊销(令牌版本号) + 清理未使用的 prisma 依赖(依赖漏洞 46→0)

- admin token 载荷新增 ver 版本号，与当前版本不一致即失效；版本持久化到 platform_configs，重启/多实例(30s同步)均生效
- 新增 POST /api/admin/session/revoke-all（requireAdmin）：一键吊销全部后台登录态；后台右上角新增入口
- 令牌有效期改为可配置 ADMIN_TOKEN_TTL_HOURS（默认由 7 天收紧到 24 小时）
- 移除 server 未使用的 @prisma/client / prisma（server/src 零引用），pnpm 移除 331 个包；pnpm audit --prod 由 46 个漏洞降为 0
- 新增回归护栏 admin-token-revocation.spec.ts（91 套件/653 用例全绿）；冒烟 6/6

docs/部署验收与1分钱支付闭环.md

@@ -18,6 +18,9 @@ USER_TOKEN_SECRET=<另一个强随机长串>
 ADMIN_USERNAME=<后台账号，默认 admin>
 ADMIN_PASSWORD=<强口令；多个可用 | 分隔>
 
+# 可选：后台令牌有效期小时数（默认 24；改口令/被盗时可在后台右上角「吊销所有后台登录态」立即失效全部令牌）
+# ADMIN_TOKEN_TTL_HOURS=24
+
 # 数据库
 MYSQL_HOST=127.0.0.1
 MYSQL_PORT=3306