Rate-limit authentication endpoints

Follow-up slice of #227.

Apply the established API rate-limit policy to the authentication router, which is outside the existing /api limiter.

Scope:
- protect authentication code exchange and logout routes consistently;
- add a focused regression test for requests exceeding the configured IP window;
- retain the current response contract and CSRF protection;
- do not add, inspect, store, or search email data.

Acceptance criteria:
- repeated authentication-route requests receive the standard 429 response;
- normal sign-in and logout behavior still works within the limit;
- server tests and CodeQL pass.

Production rollout validation remains part of #176.

Bắt đầu bằng cách đọc chính sách giới hạn tốc độ API đã được thiết lập trong follow-up issue #227 và xác định authentication router, đặc biệt là các route code exchange và logout. Thêm coverage kiểm thử server tập trung cho các request vượt quá IP window đã cấu hình, sau đó xác minh phản hồi 429 tiêu chuẩn, hành vi sign-in/logout hiện có, CSRF protection và kết quả CodeQL mà không thay đổi response contract.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.