refactor(api): per-source sourceSystem on user source port, retire pending-activation dead code

Co-Authored-By: Claude Code <noreply@anthropic.com>

services/api/src/auth/auth.service.ts

@@ -132,7 +132,7 @@ export class AuthService {
 
     // ③ 先验密码再查状态：状态不合格与密码错误同样不可区分（同 401 同文案；
     //    argon2 在两条路径都真实跑过，时延也一致）。
-    //    哨兵哈希（P4a Task 7：同步创建的待激活账号 passwordHash='!:pending:…'）
+    //    历史哨兵哈希行（P4a 待激活已退役；非法 argon2 编码统一按密码错误处理）
     //    不是合法 argon2 编码——verify 会抛错而非返回 false。此处按密码错误
     //    处理并补跑等代价 dummy verify（时延与密码错误路径一致，不泄露
     //    「该账号待激活」），杜绝 500。