feat(api): 开发平台、门店相关代码

docs/api/auth.md

@@ -68,11 +68,13 @@
 
 成功响应与注册相同，刷新 token 写入新的 `HttpOnly` cookie。失败统一返回 `401 INVALID_CREDENTIALS`；禁用账户返回 `403 ACCOUNT_DISABLED`。接口应按 IP 与邮箱摘要双维度限流，但不保存明文密码或将其记入日志。
 
+成功返回 `200 OK`、`Set-Cookie` refresh token 及上述响应体。
+
 ## 4. 刷新与退出
 
 `POST /api/auth/refresh`
 
-请求不需要 body，浏览器自动携带 refresh cookie。服务端轮换 refresh token、撤销旧 session 并返回新的短期 access token：
+请求不需要 body，浏览器自动携带 refresh cookie。服务端轮换 refresh token、撤销旧 session 并以 `200 OK` 返回新的短期 access token：
 
 ```json
 { "data": { "access_token": "eyJ…", "access_token_expires_in": 900 } }