feat: add supabase jwt auth context

docs/refactor/backend-progress.md

@@ -17,6 +17,7 @@
   - `tenant-admin`：租户资料、品牌、公开设置、域名、支付账户、登录 provider、私密密钥掩码、活动内容、激活码批次、优惠券、成员管理、权限矩阵、审计查询。
   - `tenant-content`：租户后台内容入口、任意深度分类树、考试意向标记、题目集合、练习蓝图、题目、视频、分数线、单词、知识手册、资料资源、题目/单词/知识手册 JSON 导入维护。
   - `tenant`：域名/租户解析。
+- 鉴权上下文已支持 Supabase Auth JWT 和迁移期 `tk_` session 双入口，JWT 通过 `auth.users.id -> platform_users.auth_user_id -> tenant_memberships` 映射业务用户和租户；平台管理员 JWT 已可访问平台后台。
 - `learning` 已接入商用访问控制：免费用户每日题量、SVIP 范围、SVIP-only 内容、答题 session 快照保护由后端强制执行。
 - `src/services/supabaseApi.ts` 已加入新 API 客户端方法，供旧 Web 逐步替换和后续 Taro 复用。
 - 已新增 `npm run db:smoke-seed`，用于 `supabase:reset` 后恢复最小烟测数据。
@@ -165,10 +166,11 @@ GET  /api/tenant-admin/audit-logs
 
 ## 迁移期约定
 
-- 当前写接口用 `x-tenant-id` 和 `x-user-id` 做迁移期上下文。
-- `auth` 当前签发迁移期 `tk_` session，token hash 存在 `app_private.auth_sessions`；后续接 Supabase Auth 后，`x-user-id` 要替换为 JWT 用户身份解析。
+- 当前 API 已支持 Supabase Auth JWT 和迁移期 `tk_` session；新前端应优先使用 `Authorization: Bearer <supabase_access_token>`。
+- `x-tenant-id` 只作为租户上下文，后端会校验 JWT/session 用户确实属于该租户；`x-user-id` 只允许在非生产兼容测试中使用。
+- `auth` 当前仍可签发迁移期 `tk_` session，token hash 存在 `app_private.auth_sessions`，用于旧数据迁移和本地联调。
 - 短信验证码只保存 HMAC hash，不保存明文；本地 `mock` provider 才会返回 `debugCode`。
-- `platform-admin` 当前用 `x-platform-admin-key` 做迁移期保护，生产后必须替换为平台管理员 JWT/服务端会话。
+- `platform-admin` 已支持平台管理员 Supabase JWT；`x-platform-admin-key` 只作为非生产兼容保护。
 - B 端合作商年费/服务费使用 `tenant_invoices`、`tenant_invoice_items`、`tenant_invoice_payments`，不与 C 端学生订单混表。
 - 订单金额以后端套餐价格为准，不信任前端传价。
 - 激活码兑换和支付成功都走同一套 `grantSvipEntitlement` 权益开通逻辑。