fix(product-family): auto-merge SKUs after manual tag edits; fix session cookie path

问题2（SKU 无法自动合并，GBIU017 案例）四处叠加根因修复：
- 人工标签旧词「热转印」被封闭词表静默踢出合并矩阵 → CRAFT_TAG_ALIASES
  别名归一为「烫画」（矩阵归因与 CUSTOM 标签同路径生效）
- updateTags 缺任一定价维度组即整链掉出矩阵且人工接管后永不恢复 →
  缺啥补啥（按链接名派生补齐，人工勾选值不动，响应带 filledDimensionTags）
- autoGroup 只建新族从不并入已有族（产生 USIU005-2 类碎片）→ 并入已有
  autoManaged 同款族优先，无匹配才新建；同款仅人工锁定族则跳过并报告
- 名称回退分组键含物流备注，包邮/不包邮永不同组 → 新增族语义键
  familyNameKey（国家+品名+SKU），api/admin 两侧同构，合并默认勾选随之修复

附加：
- updateTags 后未归族链接自动并入匹配族（attachToMatchingFamily，响应带
  attachedFamilyId）
- 整理新增碎片族合并 consolidateFragments：纯碎片族并入带商品族并删除
  （保公开 goodId=族ID 稳定），带商品/覆盖价/人工锁定进人工复审报告
- admin：保存标签提示补齐明细，整理完成消息含并入/碎片合并/待人工数

问题1（后台频繁 Unauthorized 掉线）：
- refresh cookie path '/auth' 与代理前缀（/api、/v2-api）不匹配导致浏览器
  永远带不上 refresh cookie → 两 cookie path 统一为 '/'
- v2 构建基址带尾斜杠 + 手工拼接产生 /v2-api//auth/refresh 双斜杠 404 →
  request.ts 规范拼接

测试：api jest 187/187、admin vitest 22/22、双侧 tsc 0 错误；
public.service 夹具改为自包含（不依赖共享库既有数据）。

apps/api/src/auth/auth.controller.ts

@@ -64,8 +64,9 @@ export class AuthController {
       httpOnly: true,
       sameSite: 'lax',
       secure: isProd,
-      // Only ever sent to /auth/refresh and /auth/logout
-      path: '/auth',
+      // 浏览器实际请求路径带代理前缀（/api/auth/*、/v2-api/auth/*），cookie path
+      // 必须用 '/' 才能命中；否则 refresh cookie 永远带不上 → 访问令牌一过期就掉线
+      path: '/',
     });
     // The refresh token deliberately stays HttpOnly-only.
     return {
@@ -86,7 +87,7 @@ export class AuthController {
   ): Promise<LoginResponseDto> {
     const token = req.cookies?.[REFRESH_TOKEN_COOKIE];
     if (!token) {
-      res.clearCookie(REFRESH_TOKEN_COOKIE, { path: '/auth' });
+      res.clearCookie(REFRESH_TOKEN_COOKIE, { path: '/' });
       throw new UnauthorizedException('Missing refresh token');
     }
     const result = await this.authService.refresh(token);
@@ -100,7 +101,7 @@ export class AuthController {
       httpOnly: true,
       sameSite: 'lax',
       secure: isProd,
-      path: '/auth',
+      path: '/',
     });
     return {
       accessToken: result.accessToken,
@@ -126,7 +127,7 @@ export class AuthController {
   ): Promise<{ success: true }> {
     await this.authService.logout(req.user.id);
     res.clearCookie(ACCESS_TOKEN_COOKIE, { path: '/' });
-    res.clearCookie(REFRESH_TOKEN_COOKIE, { path: '/auth' });
+    res.clearCookie(REFRESH_TOKEN_COOKIE, { path: '/' });
     return { success: true };
   }
 }