Support token expiration metadata

doc/tokens.md

@@ -31,7 +31,11 @@ Tokeny sa trzymane per endpoint serwera, a dopiero pod nim per user i token:
       "users": {
         "u1": {
           "tokens": {
-            "t1": "SECRET"
+            "t1": "SECRET",
+            "t2": {
+              "value": "SECRET",
+              "expires_at": "2026-05-01T12:00:00"
+            }
           }
         }
       }
@@ -46,6 +50,7 @@ To pozwala odroznic:
 - endpoint, czyli `scheme + host + port`
 - uzytkownikow na danym serwerze
 - wiele tokenow dla jednego usera
+- opcjonalna date wygasniecia `expires_at` dla tokena
 
 ## Skanowanie remota
 
@@ -112,7 +117,7 @@ Kolumny w tabeli `tokens`:
 - `remote` - nazwa remota, na przyklad `r1`
 - `token_ref` - nazwa tokena z markerem po prawej stronie
 - `token` - zamaskowana wartosc tokena
-- `valid` - wynik sprawdzenia tokena przez API: `+` dziala, `-` odrzucony, `?` nie sprawdzono, `!` blad
+- `valid` - `forever`, lokalne `expires_at`, `invalid`, `?` albo `!`
 - `scope` - maska scope tokena `awrop`
 - `org` - maska praw w organizacji `oawrc`
 - `repo` - maska praw w repo `oawr`
@@ -127,6 +132,14 @@ Maski uprawnien:
 Tabela nie wypisuje sekretu tokena wprost. Kolumna `token` pokazuje skrot, na
 przyklad `e59cc...13be`.
 
+`valid` jest liczone tak:
+
+- `forever` - API akceptuje token i nie ma lokalnego `expires_at`
+- `2026-05-01T12:00:00` - API akceptuje token i taka data jest zapisana w `tokens.json`
+- `invalid` - API odrzuca token albo lokalne `expires_at` jest w przeszlosci
+- `?` - token nie jest sparowany jako `*`, wiec nie sprawdzamy uprawnien
+- `!` - blad sprawdzania API
+
 Przyklad:
 
 ```bash