API-токен работает после блокировки или отключения покупателя #733

Проблема

API-токен продолжает работать после того, как покупателя заблокировали или отключили.

TokenService::resolveApiToken() проверяет только наличие токена и срок действия (isExpired()), состояние покупателя не смотрит. При изменении is_active или is_blocked в менеджере (CustomersController::update()) токены покупателя не отзываются — revokeTokens() вызывается только при входе, сбросе пароля и подтверждении email.

Проверок is_active / is_blocked на пути Web API нет: ни в TokenMiddleware, ни в контроллерах Controllers/Api/Web, ни в CustomerSessionService::buildMePayload(). Есть только в сессии витрины (CustomerPageService) и в восстановлении пароля.

Следствие: покупатель с действующим токеном после блокировки или отключения продолжает пользоваться /api/v1/customer/* — профиль, адреса, заказы, корзина — до истечения токена (ms3_customer_token_ttl, по умолчанию 7 дней). POST /api/v1/customer/token/refresh (TokenService::rotateApiToken()) состояние тоже не проверяет, так что срок можно продлевать сколько угодно.

Что сделать

• Проверять is_active и is_blocked (с учётом blocked_until) там, где токен превращается в покупателя — в одном месте, которым пользуются middleware, контроллеры и rotateApiToken().
• При блокировке или отключении покупателя в менеджере отзывать его API-токены.

Критерии приёмки

• Токен отключённого или заблокированного покупателя получает 401 на /api/v1/customer/*
• token/refresh для такого покупателя не выдаёт новый токен
• Блокировка и отключение в менеджере отзывают токены
• Тесты на эти случаи

Контекст

• Найдено при ревью feat(web-api): msCustomerGroup и ACL групп ресурсов для авторизованных #677: резолвер групп ресурсов проверяет блокировку сам, потому что путь токена этого не делает
• Связано: ручная блокировка снимается при входе — Блокировка покупателя из менеджера снимается при следующем входе #732