## Why

在本地 `http://localhost:5173` 登录成功后，后续受保护页面仍可能收到“请先登录”的 401 响应，导致用户无法使用整个后台。当前认证过滤器会静默吞掉所有令牌恢复异常，无法区分 Cookie 未被保存、令牌无效或用户状态变化等原因，因此需要同时修复本地会话兼容性和可诊断性。

## What Changes

- 修正 IntelliJ 本地后端启动配置：不再把项目目录作为 Spring profile，并固定以项目根目录作为工作目录，使 Spring 原生加载根目录 `.env`。
- 保持现有 Cookie 策略；现有实现已由 `xyw.auth.cookie-secure` 区分本地 HTTP 与生产 HTTPS。
- 登录后仍出现 401 时，新增安全认证诊断，记录认证失败类别而不记录敏感凭证。
- 保持现有登录、登出、接口响应格式、DTO 与数据库结构兼容。

## Capabilities

### New Capabilities

- `local-auth-session-recovery`: 本地 HTTP 环境下登录 Cookie 的签发、发送与后端身份恢复，以及安全的失败诊断。

### Modified Capabilities

- 无。

## Impact

- 影响本地 IntelliJ 启动配置 `.idea/workspace.xml`。
- 影响 `AuthTokenFilter` 的服务端诊断日志；不修改 HTTP 接口、DTO、数据库字段或第三方依赖。
- 本地开发环境需要统一使用 `http://localhost:5173/asset/`；生产 HTTPS 环境继续使用安全 Cookie。
