fix(security): ce-code-review P0 修复 - 内部 API 白名单 + Feign 事务边界

P0 A1: HeaderAuthenticationFilter 阻断 Feign 内部调用导致 U3 登录审计静默失效
- 将 /api/internal/** 加入 HeaderAuthenticationFilter 和 SecurityConfig 白名单
- InternalApiInterceptor 通过 X-Internal-Token 独立鉴权，无需 X-From-Gateway
- 修复前: pms-auth Feign 调用 /api/internal/login-logs 被 403 阻断, t_login_log 表空置
- 修复后: 内部 Feign 调用放行, 由 InternalApiInterceptor 校验 X-Internal-Token

P0 C9+R1: @Transactional login() 内 Feign 调用持有 DB 连接导致连接池耗尽风险
- 使用 TransactionSynchronizationManager 将 Feign 调用延迟到 afterCompletion 执行
- afterCompletion 在 commit/rollback 后均触发, 确保 SUCCESS 和 FAIL 日志都能记录
- 修复前: Feign 超时 3s 期间 DB 连接被持有, 高并发登录可耗尽 HikariCP 连接池
- 修复后: DB 连接在事务完成后释放, Feign 调用在事务外执行

验证:
- :pms-common:compileJava :pms-auth:compileJava 编译通过
- HeaderAuthenticationFilterTest 5 个测试全部通过
- AuthServiceTest/AuthServiceImplLoginLogTest/PlatformLoginServiceTest 22 个测试全部通过

backend/pms-auth/src/main/java/com/pms/auth/service/impl/AuthServiceImpl.java

@@ -35,6 +35,8 @@ import org.springframework.beans.factory.ObjectProvider;
 import org.springframework.security.crypto.password.PasswordEncoder;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
+import org.springframework.transaction.support.TransactionSynchronization;
+import org.springframework.transaction.support.TransactionSynchronizationManager;
 
 import java.io.ByteArrayOutputStream;
 import java.util.*;
@@ -877,6 +879,29 @@ public class AuthServiceImpl implements AuthService {
     private void recordLoginLog(Long userId, String userName, String userAccount,
                                 String loginType, String loginResult, String failReason,
                                 String ip, Long projectId) {
+        // 若处于事务内，延迟到 afterCompletion 执行 Feign 调用，
+        // 避免 Feign 超时（3s）期间持有 DB 连接导致连接池耗尽（P0 C9+R1）。
+        // afterCompletion 在 commit/rollback 后均触发，确保 SUCCESS 和 FAIL 日志都能记录。
+        if (TransactionSynchronizationManager.isSynchronizationActive()) {
+            TransactionSynchronizationManager.registerSynchronization(new TransactionSynchronization() {
+                @Override
+                public void afterCompletion(int status) {
+                    doRecordLoginLog(userId, userName, userAccount, loginType,
+                            loginResult, failReason, ip, projectId);
+                }
+            });
+            return;
+        }
+        doRecordLoginLog(userId, userName, userAccount, loginType,
+                loginResult, failReason, ip, projectId);
+    }
+
+    /**
+     * 实际执行 Feign 调用写入登录日志（不阻断主流程）
+     */
+    private void doRecordLoginLog(Long userId, String userName, String userAccount,
+                                   String loginType, String loginResult, String failReason,
+                                   String ip, Long projectId) {
         try {
             AuditFeignClient client = auditFeignClientProvider != null
                     ? auditFeignClientProvider.getIfAvailable() : null;

backend/pms-common/src/main/java/com/pms/common/security/HeaderAuthenticationFilter.java

@@ -44,7 +44,13 @@ import java.util.List;
 @ConditionalOnClass(name = "org.springframework.security.web.SecurityFilterChain")
 public class HeaderAuthenticationFilter extends OncePerRequestFilter {
 
-    /** 白名单路径（与网关 AuthFilter WHITE_LIST 对齐，Ant 模式匹配） */
+    /**
+     * 白名单路径（与网关 AuthFilter WHITE_LIST 对齐，Ant 模式匹配）
+     * <p>
+     * /api/internal/** 由 {@link com.pms.common.security.InternalApiInterceptor} 通过
+     * X-Internal-Token 独立鉴权（内部 Feign 调用不经过网关，无 X-From-Gateway header），
+     * 必须加入白名单，否则 HeaderAuthenticationFilter 返回 403 阻断内部调用。
+     */
     private static final String[] WHITE_LIST = {
             "/api/v1/auth/login",
             "/api/v1/auth/login/**",
@@ -52,6 +58,7 @@ public class HeaderAuthenticationFilter extends OncePerRequestFilter {
             "/api/v1/auth/captcha",
             "/api/v1/charge/payments/callback/**",
             "/api/v1/charge/refunds/callback/**",
+            "/api/internal/**",
             "/actuator/**",
             "/error"
     };

backend/pms-common/src/main/java/com/pms/common/security/SecurityConfig.java

@@ -28,7 +28,12 @@ import org.springframework.security.web.authentication.UsernamePasswordAuthentic
 @ConditionalOnClass(name = "org.springframework.security.web.SecurityFilterChain")
 public class SecurityConfig {
 
-    /** 白名单路径（与网关 AuthFilter 及 HeaderAuthenticationFilter WHITE_LIST 对齐） */
+    /**
+     * 白名单路径（与网关 AuthFilter 及 HeaderAuthenticationFilter WHITE_LIST 对齐）
+     * <p>
+     * /api/internal/** 由 InternalApiInterceptor 通过 X-Internal-Token 独立鉴权，
+     * 内部 Feign 调用不经过网关，需在此放行。
+     */
     private static final String[] WHITE_LIST = {
             "/api/v1/auth/login",
             "/api/v1/auth/login/**",
@@ -36,6 +41,7 @@ public class SecurityConfig {
             "/api/v1/auth/captcha",
             "/api/v1/charge/payments/callback/**",
             "/api/v1/charge/refunds/callback/**",
+            "/api/internal/**",
             "/actuator/**",
             "/error"
     };