Token 交換
從你可信任的後端，只交換一次 code。
以 JSON 向 POST /api/partner-auth/token 送出 client_id、client_secret、code，以及授權時使用的完全相同的 redirect_uri。
Authorization code 會在 5 分鐘後過期，且第一次成功交換後即失效。回傳的 Bearer token 有效期為 3600 秒。
若授權請求帶了 code_challenge，交換時必須附上 code_verifier（S256）。驗證失敗回 401，且該 code 仍視為未使用，可在到期前以正確的 verifier 重試。
沒有 refresh token 流程。當 access token 過期時，請重新發起一次使用者授權流程，而不是重試舊的 code。
請確保 client_secret 與 access_token 都不會出現在 log、URL、analytics payload、crash report 或 client 端儲存中。