M4-T02: add exponential login back-off service and wire into login endpoint

docs/design/m4-login-hardening.md

@@ -157,7 +157,7 @@ Phase B（TOTP，可选配）
 - **Reviewer checklist**: `(scope,key)` 唯一；链上单 head；env.py 注册模型。
 
 ### M4-T02 — 退避 service + 接入登录
-- **Status**: `todo` · **Depends**: M4-T01
+- **Status**: `done` · **Depends**: M4-T01
 - **Context**: 指数退避核心 + 接 `POST /api/auth/login`。
 - **Files**: `create app/services/login_throttle.py`；`modify app/api/routes/api/session.py`、`app/services/config_page.py`(+`CONFIG_FIELDS` `AUTH_LOGIN_THROTTLE_ENABLED`)、`app/config.py`(+`auth_login_throttle_enabled`、`auth_trust_forwarded_for`)；`modify tests/test_api_session.py`、`create tests/test_login_throttle.py`
 - **Steps**: