Version: 0.9.66.dev.260504

后端：
1. 阶段 2 user/auth 服务边界落地，新增 `cmd/userauth` go-zero zrpc 服务、`services/userauth` 核心实现、gateway user API/zrpc client 与 shared contracts/ports，迁移注册、登录、刷新 token、登出、JWT、黑名单和 token 额度治理
2. gateway 与启动装配切流，`cmd/all` 只保留边缘路由、鉴权和轻量组合，通过 userauth zrpc 访问核心用户能力；拆分 MySQL/Redis 初始化与 AutoMigrate 边界，`userauth` 自迁 `users` 和 token 记账幂等表，`all` 不再迁用户表
3. 清退 Gin 单体旧 user/auth DAO、model、service、router、middleware 和 JWT handler，并同步调整 agent/schedule/cache/outbox 相关调用依赖
4. 补齐 refresh token 防并发重放、MySQL 幂等 token 记账、额度 `>=` 拦截和 RPC 错误映射，避免重复记账与内部错误透出

文档：
1. 新增《学习计划论坛与Token商店PRD》

backend/cmd/userauth/main.go

@@ -0,0 +1,33 @@
+package main
+
+import (
+	"log"
+
+	"github.com/LoveLosita/smartflow/backend/bootstrap"
+	userauthdao "github.com/LoveLosita/smartflow/backend/services/userauth/dao"
+	userauthrpc "github.com/LoveLosita/smartflow/backend/services/userauth/rpc"
+	userauthsv "github.com/LoveLosita/smartflow/backend/services/userauth/sv"
+	"github.com/spf13/viper"
+)
+
+func main() {
+	if err := bootstrap.LoadConfig(); err != nil {
+		log.Fatalf("failed to load config: %v", err)
+	}
+
+	db, err := userauthdao.OpenDBFromConfig()
+	if err != nil {
+		log.Fatalf("failed to connect userauth database: %v", err)
+	}
+	rdb, err := userauthdao.OpenRedisFromConfig()
+	if err != nil {
+		log.Fatalf("failed to connect userauth redis: %v", err)
+	}
+
+	svc := userauthsv.New(userauthdao.NewUserDAO(db), userauthdao.NewCacheDAO(rdb))
+	userauthrpc.Start(userauthrpc.ServerOptions{
+		ListenOn: viper.GetString("userauth.rpc.listenOn"),
+		Timeout:  viper.GetDuration("userauth.rpc.timeout"),
+		Service:  svc,
+	})
+}