fix(auth): session bypass после revoke API-токенов + Web logout

[Ibochkarev]

Описание

TokenMiddleware пропускал non-public запросы по одному $_SESSION['ms3']['customer_id'] без проверки API-токена в БД. После revoke на одном устройстве другое с живой PHP-сессией сохраняло доступ. В Web REST не было POST /api/v1/customer/logout, хотя процессор уже существовал.

Исправление:

• убран session short-circuit; customer_token из session проходит DB-валидацию;
• stale customer_id без токена очищается через clearClientTokenState();
• AuthorizedCustomerTrait — только customer через resolveApiToken();
• POST /api/v1/customer/logout → Logout processor с TokenMiddleware, public route;
• logout резолвит customer из session/Bearer/cookie, revokeTokens, anonymous token, session_regenerate_id(true).

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change
• Рефакторинг
• Документация

Связанные Issues

Closes #409

Как это было протестировано?

cd core/components/minishop3
php -l src/Middleware/TokenMiddleware.php              # exit 0
php -l src/Controllers/Api/Web/AuthorizedCustomerTrait.php  # exit 0
php -l src/Processors/Api/Customer/Logout.php            # exit 0
php -l config/routes/web.php                           # exit 0
php tests/TokenSessionRevokePolicyTest.php             # exit 0
composer ci:php                                        # exit 0 (14 smoke)

• Ручное тестирование (анализ auth flow + review battery)
• Автоматические тесты
• Тестирование на разных версиях PHP/MODX

Чеклист

• Код соответствует стилю проекта
• Изменения не ломают существующую функциональность
• Лексиконы — n/a (используются существующие ключи)
• CHANGELOG — release-time

Дополнительные заметки

Deferred (follow-up): snippet-слой ms3_customer / CustomerPageService всё ещё может опираться на session customer_id; CustomerProfileController / CustomerEmailController читают session напрямую (middleware на их роутах уже синхронизирует session после валидации токена).