fix(customer): reject expired API tokens instead of silent renew

[Ibochkarev]

Описание

Истёкший TYPE_API токен больше не продлевается с тем же string. TokenService::resolveApiToken() удаляет запись (как AuthManager::validateToken), TokenMiddleware на protected routes отвечает 401 + ms3_err_token_expired, чистит cookie и session (customer_id тоже).

Без этого утечка Bearer/cookie давала бессрочный доступ. /token/refresh (#334) — отдельный баг; здесь только reject, не rotation.

Тип изменений

• Исправление бага (non-breaking change)

Связанные Issues

Closes #371

Как это было протестировано?

cd core/components/minishop3
php -l src/Middleware/TokenMiddleware.php
php -l src/Services/TokenService.php
php -l src/Utils/ApiTokenExpiry.php
php tests/ApiTokenExpiryPolicyTest.php
# остальные smoke:
for f in tests/*Test.php; do php "$f"; done

• Ручное тестирование
• Автоматические тесты (ApiTokenExpiryPolicyTest + existing smoke)
• Тестирование на разных версиях PHP/MODX

Конфигурация тестирования:

• MiniShop3: ветка fix/371-expired-api-token-no-renew
• MODX: не требуется для smoke
• PHP: 8.4 локально

Скриншоты (если применимо)

До	После
n/a	n/a

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы добавлены на двух языках (ru/en) — ключ ms3_err_token_expired уже был
• PHPStan проходит без новых ошибок (локально; в CI пока нет)
• ESLint проходит без ошибок (npm run lint:ci для Vue)
• Обновлён CHANGELOG.md (для значимых изменений)

Дополнительные заметки

• Анонимная корзина с истёкшим token: первый protected-запрос → 401; cookie сброшен; следующий запрос без token получит новый anonymous token (корзина по старому ключу может стать недоступна — ожидаемо без working refresh).
• Session без token в запросе по-прежнему допускает customer_id в PHP session; если token есть (Bearer/cookie) — всегда валидируется в БД.
• Follow-up: живой /token/refresh ([Bug] Web API: /token/refresh возвращает success, хотя не реализован #334 / fix(web-api): remove false-success stub for token/refresh #351).