feat: 心跳接口改用JWT token获取用户设备信息

- JWT Claims 增加 device_id 和 instance_id 字段
- 登录时将设备信息编码到 token
- 心跳接口从 token 自动获取用户和设备信息
- 心跳路由移到需要 JWT 认证的路由组
- 更新 API 文档

优点：
- 更安全：无法伪造设备信息
- 请求更简洁：心跳无需传递参数
- 符合业界标准做法

Co-Authored-By: Claude <noreply@anthropic.com>

docs/API_DOCUMENT.md

@@ -365,15 +365,10 @@ Content-Type: application/json
 ```
 POST /api/v1/app/{appKey}/heartbeat
 Authorization: Bearer {token}
-Content-Type: application/json
-
-{
-  "user_id": 1,
-  "device_id": "设备ID",
-  "instance_id": "实例ID"
-}
 ```
 
+> 用户ID、设备ID、实例ID均从 JWT token 中自动获取，无需在请求体中传递。token 在登录时已包含设备信息。
+
 **响应**
 ```json
 {