feat: 实现客户端注册与任务领取接口

Admin 的第一个业务功能。选它打头是因为它是穿透所有层的最薄一条竖切
（HTTP → handler/api → service → repository → SQLite → handler/web → 页面），
一个工单把分层模式立起来，后面四个模块照抄；同时它是与 Client 联调的接口，
能解锁另一条并行的工作线。

实现
- POST /tasks/claim：注册 + 领取。注册就在这里做，没有单独的注册接口，
  也没有心跳（理由见 docs/admin/04-client-api.md §3）
- 领取用条件更新 + 检查影响行数防并发，SQLite 没有 SELECT FOR UPDATE
- 客户端列表页：查询、按名称搜索、批量删除
- 在线状态是**算出来的**（last_seen_at 在 10 分钟内），数据库里没有该字段
- CSRF 中间件：双提交 Cookie，手写 82 行不引依赖。
  **只挂页面路由**，/api/v1/client/* 不能加——Client 不是浏览器、没有 Cookie
- 14 个单元测试

修复一个真 bug：PRAGMA 必须写进 DSN
并发领取测试报 database is locked (SQLITE_BUSY)。根因是
PRAGMA busy_timeout 每连接生效，而 database/sql 是连接池——
db.Exec("PRAGMA ...") 只作用于当时那条连接，池子新开的连接没执行过。
单线程正常、一并发就炸。改成 DSN 传参后并发测试跑 20 次全过。
这个坑已写进 docs/admin/03-data-model.md §2.1。

与工单的两处差异
- 去掉 name_is_custom 列后，"人工改的名字不被覆盖"改用更简单的做法：
  ON CONFLICT DO UPDATE SET 里不含 name，即只在首次注册时写入。
  效果相同，零额外字段、零迁移。已同步 04 §3
- 验收项"不向 dry_run 客户端分配真实下单任务"**未实现**：
  tasks 表没有字段标记任务是否需要真实下单。当前真实下单开关默认关闭、
  MVP 全是演练模式，暂不出问题，但开真实下单前必须补该字段，需另开工单

已验证（Go 1.23.0）
- go vet / gofmt / go test 全过，并发测试重复 20 次稳定通过
- 端到端：无任务 claim 204；插入任务后 claim 200 且 payload 含
  goods_url/goods_id/options/quantity/max_price_cent、无租约无 Admin 状态；
  重复 claim 204；缺 X-Client-Id 400；POST 无 CSRF token 403；
  列表页两台客户端在线状态与统计正确

说明：Gitea 尚未配置，本次无对应工单号。
submit_result / submit_failure 及其幂等处理留给下一个工单。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

admin/handler/web/others.go

@@ -1,9 +1,13 @@
 package web
 
 import (
+	"fmt"
+	"log"
 	"net/http"
 
 	"github.com/gin-gonic/gin"
+
+	"cmautobuy/admin/service"
 )
 
 // ---------- 2. 顺运宝数据 ----------
@@ -16,7 +20,7 @@ func (h *Handler) SybList(c *gin.Context) {
 	// TODO(骨架): 查货运单，并左联 sku_mappings 得出匹配状态
 	var rows []gin.H
 
-	c.HTML(http.StatusOK, "syb/list", page("syb", "顺运宝数据", gin.H{
+	c.HTML(http.StatusOK, "syb/list", page(c, "syb", "顺运宝数据", gin.H{
 		"Keyword": keyword,
 		"Rows":    rows,
 		"Status":  "尚未实现：同步或手工录入后这里显示货运单",
@@ -78,7 +82,7 @@ func (h *Handler) TaskList(c *gin.Context) {
 	// TODO(骨架): 查 tasks，task_type = 'purchase'
 	var rows []gin.H
 
-	c.HTML(http.StatusOK, "task/list", page("tasks", "采购任务", gin.H{
+	c.HTML(http.StatusOK, "task/list", page(c, "tasks", "采购任务", gin.H{
 		"Keyword": keyword,
 		"Rows":    rows,
 		"Status":  "尚未实现：创建任务后这里显示执行进度",
@@ -103,18 +107,49 @@ func (h *Handler) TaskDelete(c *gin.Context) {
 func (h *Handler) ClientList(c *gin.Context) {
 	keyword := c.Query("name")
 
-	// TODO(骨架): 查 clients，并按 last_seen_at 算在线状态
-	var rows []gin.H
+	views, err := service.ListClientViews(h.db, keyword, h.onlineThreshold)
+	if err != nil {
+		fail(c, http.StatusInternalServerError,
+			"读取客户端列表失败，数据没有被改动。请稍后重试，或查看 data/logs/ 里的日志。")
+		return
+	}
 
-	c.HTML(http.StatusOK, "client/list", page("clients", "客户端列表", gin.H{
+	online := 0
+	for _, v := range views {
+		if v.Status == "在线" {
+			online++
+		}
+	}
+	status := fmt.Sprintf("共 %d 台客户端 · 在线 %d · 离线 %d",
+		len(views), online, len(views)-online)
+	if len(views) == 0 {
+		status = "还没有客户端。客户端第一次调用领取接口时会自动登记。"
+	}
+
+	c.HTML(http.StatusOK, "client/list", page(c, "clients", "客户端列表", gin.H{
 		"Keyword": keyword,
-		"Rows":    rows,
-		"Status":  "尚未实现：客户端第一次调领取接口后会自动出现在这里",
+		"Rows":    views,
+		"Status":  status,
 	}))
 }
 
 // ClientDelete 批量删除客户端。
+//
+// 二次确认在前端做（见 static/js/app.js），这里直接删。
+// 删掉之后客户端下次调 claim 会重新登记，属于正常行为。
 func (h *Handler) ClientDelete(c *gin.Context) {
-	// TODO(骨架)
-	fail(c, http.StatusNotImplemented, "删除功能尚未实现。")
+	ids := c.PostFormArray("ids")
+	if len(ids) == 0 {
+		fail(c, http.StatusBadRequest, "没有选中任何客户端，请勾选后再删除。")
+		return
+	}
+
+	n, err := service.DeleteClients(h.db, ids)
+	if err != nil {
+		fail(c, http.StatusInternalServerError,
+			"删除失败，数据没有被改动。请稍后重试，或查看 data/logs/ 里的日志。")
+		return
+	}
+	log.Printf("clients_deleted count=%d", n)
+	c.Redirect(http.StatusSeeOther, "/clients")
 }