merge: rebase 到最新 main（吸納 PR #15 個人自助指令群）後新增管理端指令群

- main 已合併 PR #15（profile/password/email/sessions/tokens/mfa 與 eqrcode 依賴）
- 保留 main 的 self_service 模組與 api.ex 個人自助端點，於其上重套管理端：
  jwks/accounts/audit-logs 指令、API 端點、CLI 接線、docs §3.8–§3.10、README 表格
- mix precommit 全綠（150 tests：admin 100 + self-service 50）

lib/bear_cli/api.ex

@@ -2,7 +2,12 @@ defmodule BearCli.Api do
   @moduledoc """
   Bear 伺服器 HTTP 介面（一律使用 `Req`）。
 
-  目前僅實作 PAT 模式所需的 `GET /userinfo`。
+  - `GET /userinfo`：PAT 模式身分驗證（issue #6）。
+  - App 管理 API `/api/v1/apps`（alterminal/bear#28；PAT Bearer、admin 限定）。
+  - 個人自助 API `/api/v1/profile*`（alterminal/bear#35；PAT Bearer、
+    任何有效帳號）：profile／密碼／email／sessions／PAT／MFA。
+  - 管理端 API `/api/v1/jwks`/`/api/v1/accounts`/`/api/v1/audit-logs`
+    (alterminal/bear#36; PAT Bearer, admin only).
   """
 
   @finch BearCli.Finch
@@ -98,9 +103,132 @@ defmodule BearCli.Api do
     api_request(issuer, token, :post, "/api/v1/apps/" <> URI.encode(id) <> "/toggle", json: %{})
   end
 
-  # App 管理 API 共用請求。回傳：
+  # -- 個人自助 API（alterminal/bear#35；PAT Bearer、任何有效帳號）--
+
+  @doc "`GET /api/v1/profile`：完整個人資料（含 MFA 狀態）。"
+  def profile_get(issuer, token) do
+    api_request(issuer, token, :get, "/api/v1/profile")
+  end
+
+  @doc "`PUT /api/v1/profile`：更新個人資料欄位（只送有給的欄位）。"
+  def profile_update(issuer, token, attrs) do
+    api_request(issuer, token, :put, "/api/v1/profile", json: attrs)
+  end
+
+  @doc """
+  `POST /api/v1/profile/password`：變更密碼（body：`current_password`、
+  `new_password`、`password_confirmation`；伺服器驗舊密碼，不因 CLI 放寬）。
+  """
+  def profile_change_password(issuer, token, current_password, new_password) do
+    api_request(issuer, token, :post, "/api/v1/profile/password",
+      json: %{
+        current_password: current_password,
+        new_password: new_password,
+        password_confirmation: new_password
+      }
+    )
+  end
+
+  @doc "`POST /api/v1/profile/email/request-codes`：寄發 email 變更雙向驗證碼。"
+  def profile_email_request_codes(issuer, token, new_email) do
+    api_request(issuer, token, :post, "/api/v1/profile/email/request-codes",
+      json: %{new_email: new_email}
+    )
+  end
+
+  @doc """
+  `POST /api/v1/profile/email`：確認變更 email（body：`new_email`、
+  `current_code`、`new_code`）。
+  """
+  def profile_email_change(issuer, token, new_email, current_code, new_code) do
+    api_request(issuer, token, :post, "/api/v1/profile/email",
+      json: %{new_email: new_email, current_code: current_code, new_code: new_code}
+    )
+  end
+
+  @doc "`GET /api/v1/profile/sessions`：列出作用中 session（新到舊）。"
+  def sessions_list(issuer, token) do
+    api_request(issuer, token, :get, "/api/v1/profile/sessions")
+  end
+
+  @doc "`POST /api/v1/profile/sessions/{id}/revoke`：撤銷單一 session。"
+  def sessions_revoke(issuer, token, id) do
+    api_request(issuer, token, :post, "/api/v1/profile/sessions/" <> URI.encode(id) <> "/revoke",
+      json: %{}
+    )
+  end
+
+  @doc """
+  `POST /api/v1/profile/sessions/revoke-others`：撤銷其他 session
+  （body `keep` 可省略＝全部撤銷）。
+  """
+  def sessions_revoke_others(issuer, token, keep \\ nil) do
+    api_request(issuer, token, :post, "/api/v1/profile/sessions/revoke-others",
+      json: %{keep: keep} |> Map.reject(fn {_k, v} -> is_nil(v) end)
+    )
+  end
+
+  @doc "`GET /api/v1/profile/tokens`：列出未撤銷的 PAT（新到舊）。"
+  def tokens_list(issuer, token) do
+    api_request(issuer, token, :get, "/api/v1/profile/tokens")
+  end
+
+  @doc """
+  `POST /api/v1/profile/tokens`：建立 PAT；明文 `token` 只在成功回應
+  出現一次（body：`name`、`expires_in`＝天數或 `never`）。
+  """
+  def tokens_create(issuer, token, name, expires_in) do
+    api_request(issuer, token, :post, "/api/v1/profile/tokens",
+      json: %{name: name, expires_in: expires_in}
+    )
+  end
+
+  @doc "`POST /api/v1/profile/tokens/{id}/revoke`：撤銷單一 PAT。"
+  def tokens_revoke(issuer, token, id) do
+    api_request(issuer, token, :post, "/api/v1/profile/tokens/" <> URI.encode(id) <> "/revoke",
+      json: %{}
+    )
+  end
+
+  @doc """
+  `POST /api/v1/profile/mfa/setup`（無 body）：開始 TOTP 設定，回
+  `%{"data" => %{"secret" => ..., "otpauth_uri" => ...}}`。已啟用 MFA 回
+  422 `already_enabled`。
+  """
+  def mfa_setup(issuer, token) do
+    api_request(issuer, token, :post, "/api/v1/profile/mfa/setup", json: %{})
+  end
+
+  @doc """
+  `POST /api/v1/profile/mfa/setup/confirm`（body：`code`）：確認設定並
+  啟用 MFA，回一次性 recovery codes。
+  """
+  def mfa_setup_confirm(issuer, token, code) do
+    api_request(issuer, token, :post, "/api/v1/profile/mfa/setup/confirm", json: %{code: code})
+  end
+
+  @doc """
+  `POST /api/v1/profile/mfa/disable`（body：`code`＝目前 TOTP 或
+  recovery code）：停用 MFA。
+  """
+  def mfa_disable(issuer, token, code) do
+    api_request(issuer, token, :post, "/api/v1/profile/mfa/disable", json: %{code: code})
+  end
+
+  @doc """
+  `POST /api/v1/profile/mfa/recovery-codes`（body：`code`）：重產一組
+  一次性 recovery codes（舊組全部失效）。
+  """
+  def mfa_recovery_codes(issuer, token, code) do
+    api_request(issuer, token, :post, "/api/v1/profile/mfa/recovery-codes", json: %{code: code})
+  end
+
+  # -- 共用請求輔助 --
+
+  # 回傳：
   #   {:ok, body} | {:error, :unauthorized, desc} | {:error, :forbidden, desc}
   #   | {:error, :not_found, desc} | {:error, :unprocessable_entity, body}
+  #   | {:error, :too_many_requests, body}
   #   | {:error, :server_error, status} | {:error, :network, reason}
   defp api_request(issuer, token, method, path, extra \\ []) do
     url = String.trim_trailing(issuer, "/") <> path
@@ -129,6 +257,9 @@ defmodule BearCli.Api do
       {:ok, %Req.Response{status: 422, body: body}} ->
         {:error, :unprocessable_entity, decode_body(body)}
 
+      {:ok, %Req.Response{status: 429, body: body}} ->
+        {:error, :too_many_requests, decode_body(body)}
+
       {:ok, %Req.Response{status: status}} ->
         {:error, :server_error, status}