fix: 并发突发下共享管理员会话只登录一次

首版共享会话在缓存未命中时各线程各自登录：突发冷缓存下
N 路并发开通会在网关刷出 N 次 bcrypt。改为锁内双重检查
登录（RLock 可重入，_login 成功后写回同一缓存）：第一路
登录，其余线程等锁后直接播种。实例本身仍不跨线程，401
时照常走刷新->重登录自愈。
测试：FakeApi 加锁（假实现自身线程安全，失败指向真代码）；
新增 10 线程同起并发单测，断言 10 路全成功且管理员登录
恰好 1 次；全量 cloud 795（4 跳过）、host 69、deploy 19
全绿；真网关 10 路突发实测 0 错误、墙钟 0.774s、临时号
已清。

cloud/sub2api.py

@@ -119,7 +119,7 @@ def get_user_gateway_key(conn, user_id):
 # 共享后同一进程内第二次起免登录。401/刷新失败会回落到重登录，
 # 密码轮换后下一次登录即用新密码刷新缓存，不会卡死。
 _SHARED_ADMIN = {}
-_SHARED_ADMIN_LOCK = threading.Lock()
+_SHARED_ADMIN_LOCK = threading.RLock()
 
 
 def _store_shared_session(admin):
@@ -143,7 +143,9 @@ def shared_admin_session(request=None):
     """带进程内 token 复用的管理员会话（生产开通路径默认用它）。
 
     缓存命中且未过期时直接播种 token，免一次管理员登录；
-    未命中/已过期时照常登录，成功后写回缓存。调用方显式传
+    未命中/已过期时在锁内登录一次再返回：突发冷缓存下
+    N 个并发开通也只登录一次（其余线程等锁后直接播种），
+    不会各登各的把网关刷出 N 次 bcrypt。调用方显式传
     admin 的单测不受影响（不走这条工厂）。
     """
     admin = Sub2apiAdmin.from_env(request=request)
@@ -151,9 +153,13 @@ def shared_admin_session(request=None):
     admin._shared_key = key
     with _SHARED_ADMIN_LOCK:
         cached = _SHARED_ADMIN.get(key)
-    if cached and cached[2] > time.time():
-        admin._token, admin._refresh, admin._expires_at = cached
-    return admin
+        if cached and cached[2] > time.time():
+            admin._token, admin._refresh, admin._expires_at = cached
+            return admin
+        # 缓存未命中：在锁内登录（_login 成功后经
+        # _store_shared_session 写回同一缓存，RLock 可重入）。
+        admin._login()
+        return admin
 
 
 class Sub2apiAdmin: