补齐邮箱核验的忘记密码与修改密码

## 背景

当前产品缺少完整、明确的密码自助管理入口：未登录用户需要在登录页找回密码，已登录用户需要在用户中心通过当前账号邮箱核验后修改密码。

## 目标

- 登录页提供“忘记密码”，通过邮箱验证码重置密码。
- 用户中心提供“修改密码”，通过当前账号邮箱验证码设置新密码。
- 密码变更后使现有 access token 与 refresh token 失效。
- 验证码校验需防重放、限制错误尝试次数，并保持统一错误信息。
- 补齐前后端测试与 OpenAPI 合同。

## 验收标准

- 两个入口名称和使用场景清晰区分。
- 邮箱、验证码、新密码及确认密码校验完整。
- 修改成功后当前会话退出，旧会话不能继续访问或刷新。
- 不包含服务器部署或配置变更。