发起找回密码：校验图形验证码后生成一次性重置 token。

返回：success(reset_email_sent)；邮箱不存在返回 40401。 副作用：写 Redis（reset_token:{token} -> user_id，TTL 1800 秒），并写日志。

注意：目前真正的邮件通道还没接上，token 只打在日志里（见下方 TODO）， 也就是说这个接口现在只能靠运维从日志里取链接；同时「邮箱不存在返回 404」 同样会暴露账号是否注册。