feat: 心跳接口改用JWT token获取用户设备信息

- JWT Claims 增加 device_id 和 instance_id 字段
- 登录时将设备信息编码到 token
- 心跳接口从 token 自动获取用户和设备信息
- 心跳路由移到需要 JWT 认证的路由组
- 更新 API 文档

优点：
- 更安全：无法伪造设备信息
- 请求更简洁：心跳无需传递参数
- 符合业界标准做法

Co-Authored-By: Claude <noreply@anthropic.com>

backend/pkg/jwt/jwt.go

@@ -10,14 +10,21 @@ import (
 
 // Claims JWT声明
 type Claims struct {
-	UserID   uint   `json:"user_id"`
-	Username string `json:"username"`
-	Role     string `json:"role"`
+	UserID     uint   `json:"user_id"`
+	Username   string `json:"username"`
+	Role       string `json:"role"`
+	DeviceID   string `json:"device_id,omitempty"`
+	InstanceID string `json:"instance_id,omitempty"`
 	jwt.RegisteredClaims
 }
 
 // GenerateToken 生成JWT令牌
 func GenerateToken(userID uint, username, role string) (string, error) {
+	return GenerateTokenWithDevice(userID, username, role, "", "")
+}
+
+// GenerateTokenWithDevice 生成包含设备信息的JWT令牌
+func GenerateTokenWithDevice(userID uint, username, role, deviceID, instanceID string) (string, error) {
 	expireHours := config.GetInt("app.jwt_expire_hours")
 	if expireHours <= 0 {
 		expireHours = 24
@@ -26,9 +33,11 @@ func GenerateToken(userID uint, username, role string) (string, error) {
 	expiresAt := time.Now().Add(time.Hour * time.Duration(expireHours))
 
 	claims := Claims{
-		UserID:   userID,
-		Username: username,
-		Role:     role,
+		UserID:     userID,
+		Username:   username,
+		Role:       role,
+		DeviceID:   deviceID,
+		InstanceID: instanceID,
 		RegisteredClaims: jwt.RegisteredClaims{
 			ExpiresAt: jwt.NewNumericDate(expiresAt),
 			IssuedAt:  jwt.NewNumericDate(time.Now()),
@@ -70,6 +79,6 @@ func RefreshToken(tokenString string) (string, error) {
 		return "", errors.New("token is still valid")
 	}
 
-	// 生成新令牌
-	return GenerateToken(claims.UserID, claims.Username, claims.Role)
+	// 生成新令牌，保留设备信息
+	return GenerateTokenWithDevice(claims.UserID, claims.Username, claims.Role, claims.DeviceID, claims.InstanceID)
 }