fix(web-api): bind API token on email verify

[Ibochkarev]

Описание

После GET /api/v1/customer/email/verify в PHP session попадали customer_id и legacy msCustomer.token, а cookie msCustomerToken оставался гостевым. Profile/addresses шли через session short-circuit, корзина и заказ — через guest API token (split-brain).

Логика привязки API-сессии вынесена в AuthManager::establishApiSession() (reuse гостевого токена из cookie → bind customer_id, extend TTL, bindDraftToCustomer; иначе новый токен + cookie). Метод используют verify, login и register. При сбое auto-login JSON возвращает success с token: null (email уже verified), как html-redirect без сессии.

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change (изменение, ломающее обратную совместимость)
• Рефакторинг (без изменения функциональности)
• Документация
• Другое (опишите):

Связанные Issues

Closes #411

Как это было протестировано?

Локальный гейт (без MODX/MySQL):

cd core/components/minishop3
php -l src/Services/Customer/AuthManager.php                    # exit 0
php -l src/Controllers/Api/Web/CustomerEmailController.php    # exit 0
php -l src/Processors/Api/Customer/Login.php                    # exit 0
php -l src/Processors/Api/Customer/Register.php                 # exit 0
php tests/EmailVerifyApiSessionTest.php                         # exit 0
php tests/CustomerPublicDtoTest.php                           # exit 0
php tests/EmailVerificationUrlTest.php                        # exit 0

• Ручное тестирование
• Автоматические тесты (static guard + смежные тесты)
• Тестирование на разных версиях PHP/MODX

Конфигурация тестирования:

• MiniShop3: beta branch
• MODX: n/a (локально без инстанса)
• PHP: 8.2+

Скриншоты (если применимо)

n/a

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы добавлены на двух языках (ru/en) — не требуется
• PHPStan проходит без новых ошибок (локально; в CI пока нет)
• ESLint проходит без ошибок (npm run lint:ci для Vue) — Vue не затронут
• Обновлён CHANGELOG.md (для значимых изменений) — по политике релиза

Дополнительные заметки

• JSON format=json теперь возвращает token/expires_at как login processor — нужно SPA-клиентам после verify.
• Security review: token в GET JSON verify и bind гостевого ms3_token на verify — те же trade-off, что у login/register; ротация токена на verify — возможный follow-up ([Bug] Checkout: захват msCustomer — token чужого аккаунта по email #369).