docs: 第三波交付收口——认证契约与两端实现报告入档

- 新增 API 契约：docs/api/openapi.yaml（T6a 正式化）与契约说明页（契约先行原则）
- 入档报告 16（后端 JWT 会话，37→73 测试）与 17（Flutter 登录纵切，7→30 测试）
- 进展看板更新至第三波完成，第四波为联调 E2E → CI → 编排 → 埋点
- 门禁：mkdocs build --strict 通过

docs/api/index.md

@@ -0,0 +1,5 @@
+# API 契约
+
+第一迭代认证域的正式契约见 [openapi.yaml](openapi.yaml)（OpenAPI 3）：注册、登录、刷新、退出、当前用户 5 个端点，统一错误信封 `{code, message, data}` 与错误码表（40000/40100/40101/40102/40900/40901/42300），以及会话轮换与登录锁定策略说明。
+
+约定：契约变更须先改本文件目录下的 OpenAPI，再改实现（契约先行）；错误码只增不改义。