refactor(backend): 错误码收敛为单一事实来源，统一异常写法

错误码（t16）
- HTTP 语义只由 core/exceptions.py 的 RET.code → fastapi.status 映射决定；
  映射表显式登记 -1→400 与全部「数值即 HTTP 状态」的 RET 成员，_DEFAULT_BUSINESS_STATUS
  降为「新增码忘登记」的安全网
- 移除冗余 status_code：131 处调用点改为纯 code 表达；security.py/dependencies.py
  的 status_code=401/403 去除（映射表已给）；get_or_404 → code=RET.NOT_FOUND.code
- 新增静态护栏（AST）：app/ 下除 exceptions.py 外不得出现 status_code 传参，
  路由装饰器 201 白名单显式放行并断言白名单非空

异常写法统一（t19）
- 删除 CustomException.internal 及 132 处包装：意外异常直接冒泡，由全局
  @app.exception_handler(Exception) 统一映射 5xx + 通用文案 + 日志；
  需要运维上下文处改为 logger.exception("<业务动作>失败") + raise
- 构造器不再接受 status_code 参数（属性保留，由 code 派生）→ 结构上杜绝第二来源
- 修复 6 处「宽泛 except 把 400 包成 500」的语义反转（补 except CustomException: raise），
  并加 AST 护栏防止回潮
- 全局 SQLAlchemyError：非完整性错误由 400 改为 503（连接类）/500（其它），
  不再把驱动原文/异常类型拼进客户端 msg；顺带修掉不存在的
  status.HTTP_403_SERVICE_UNAVAILABLE 常量（命中即 AttributeError→500）

验证：pytest 97 passed / ruff 全绿；AST 审计残留 0；护栏红绿测试通过；
线上实测验证码过期仍 400 并保留业务文案、无令牌 401。

backend/app/core/dependencies.py

@@ -94,32 +94,32 @@ async def _authenticate(
 ) -> AuthSchema:
     """核心认证逻辑（HTTP 与 WebSocket 共享）"""
     if not token:
-        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
 
     # 处理Bearer token（兼容无空格/无前缀输入，避免 IndexError）
     if token.startswith("Bearer"):
         token = token[len("Bearer") :].strip()
         if not token:
-            raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+            raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
 
     # 滑动模式下跳过 JWT exp 校验，由 Redis session TTL 决定实际有效期
     payload = decode_access_token(token, verify_exp=not settings.TOKEN_SLIDING_EXPIRE)
     if not payload or payload.is_refresh:
-        raise CustomException(msg="非法凭证", code=RET.INVALID_CREDENTIALS.code, status_code=401)
+        raise CustomException(msg="非法凭证", code=RET.INVALID_CREDENTIALS.code)
 
     session_id = payload.sub
     if not session_id:
-        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
 
     session_key = f"{RedisInitKeyConfig.USER_SESSION.key}:{session_id}"
     raw = await RedisCURD(redis).get(session_key)
     if not raw:
-        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
     user_info = json.loads(raw)
 
     # 校验 session 数据完整性
     if not user_info.get("session_id"):
-        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
 
     # 滑动过期续期：以 USER_SESSION 为存活判据与续期主体，且受绝对上限约束
     if settings.TOKEN_SLIDING_EXPIRE:
@@ -147,7 +147,7 @@ async def _authenticate(
                 )
             if expired:
                 await crud.delete(session_key)
-                raise CustomException(msg="会话超过最大存活时长，请重新登录", code=RET.UNAUTHORIZED.code, status_code=401)
+                raise CustomException(msg="会话超过最大存活时长，请重新登录", code=RET.UNAUTHORIZED.code)
             # 续期必须落在存活判据（USER_SESSION）上，否则续期无效、判据形同虚设
             await crud.expire(key=session_key, expire=settings.REFRESH_TOKEN_EXPIRE_SECONDS)
             await crud.expire(
@@ -157,16 +157,16 @@ async def _authenticate(
 
     username = user_info.get("user_name")
     if not username:
-        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
 
     user_status = user_info.get("user_status", 0)
     user_id = user_info.get("user_id")
 
     if user_status == 1:
-        raise CustomException(msg="用户已被停用", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="用户已被停用", code=RET.UNAUTHORIZED.code)
 
     if not user_id:
-        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code, status_code=401)
+        raise CustomException(msg="认证已失效", code=RET.UNAUTHORIZED.code)
 
     # 每请求查库校验用户仍存在且未删除：token 只证明签发时身份，不证明现在。
     from app.modules.system.user.model import UserModel  # 延迟导入：core 导入期不依赖业务层（守卫不变式 3）
@@ -179,7 +179,7 @@ async def _authenticate(
         .first()
     )
     if not user_obj:
-        raise CustomException(msg="用户不存在", code=RET.NOT_FOUND.code, status_code=401)
+        raise CustomException(msg="用户不存在", code=RET.UNAUTHORIZED.code)
 
     user = CoreUserSchema.model_validate(user_obj)
     return AuthSchema(
@@ -225,10 +225,10 @@ class AuthPermission:
         user_permissions = set[Any](auth.permissions)
 
         if not user_permissions:
-            raise CustomException(msg="无权限操作", code=RET.FORBIDDEN.code, status_code=403)
+            raise CustomException(msg="无权限操作", code=RET.FORBIDDEN.code)
 
         if not any(perm in user_permissions for perm in self.permissions):
             logger.error(f"用户缺少任何所需的权限: {self.permissions}")
-            raise CustomException(msg="无权限操作", code=RET.NO_PERMISSION.code, status_code=403)
+            raise CustomException(msg="无权限操作", code=RET.NO_PERMISSION.code)
 
         return auth