feat: 实现客户端注册与任务领取接口

Admin 的第一个业务功能。选它打头是因为它是穿透所有层的最薄一条竖切
（HTTP → handler/api → service → repository → SQLite → handler/web → 页面），
一个工单把分层模式立起来，后面四个模块照抄；同时它是与 Client 联调的接口，
能解锁另一条并行的工作线。

实现
- POST /tasks/claim：注册 + 领取。注册就在这里做，没有单独的注册接口，
  也没有心跳（理由见 docs/admin/04-client-api.md §3）
- 领取用条件更新 + 检查影响行数防并发，SQLite 没有 SELECT FOR UPDATE
- 客户端列表页：查询、按名称搜索、批量删除
- 在线状态是**算出来的**（last_seen_at 在 10 分钟内），数据库里没有该字段
- CSRF 中间件：双提交 Cookie，手写 82 行不引依赖。
  **只挂页面路由**，/api/v1/client/* 不能加——Client 不是浏览器、没有 Cookie
- 14 个单元测试

修复一个真 bug：PRAGMA 必须写进 DSN
并发领取测试报 database is locked (SQLITE_BUSY)。根因是
PRAGMA busy_timeout 每连接生效，而 database/sql 是连接池——
db.Exec("PRAGMA ...") 只作用于当时那条连接，池子新开的连接没执行过。
单线程正常、一并发就炸。改成 DSN 传参后并发测试跑 20 次全过。
这个坑已写进 docs/admin/03-data-model.md §2.1。

与工单的两处差异
- 去掉 name_is_custom 列后，"人工改的名字不被覆盖"改用更简单的做法：
  ON CONFLICT DO UPDATE SET 里不含 name，即只在首次注册时写入。
  效果相同，零额外字段、零迁移。已同步 04 §3
- 验收项"不向 dry_run 客户端分配真实下单任务"**未实现**：
  tasks 表没有字段标记任务是否需要真实下单。当前真实下单开关默认关闭、
  MVP 全是演练模式，暂不出问题，但开真实下单前必须补该字段，需另开工单

已验证（Go 1.23.0）
- go vet / gofmt / go test 全过，并发测试重复 20 次稳定通过
- 端到端：无任务 claim 204；插入任务后 claim 200 且 payload 含
  goods_url/goods_id/options/quantity/max_price_cent、无租约无 Admin 状态；
  重复 claim 204；缺 X-Client-Id 400；POST 无 CSRF token 403；
  列表页两台客户端在线状态与统计正确

说明：Gitea 尚未配置，本次无对应工单号。
submit_result / submit_failure 及其幂等处理留给下一个工单。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/admin/03-data-model.md

@@ -19,20 +19,58 @@
 
 ## 2. 建库与迁移
 
-每次打开连接至少设置：
+### 2.1 PRAGMA 必须写在 DSN 里
 
-```sql
-PRAGMA foreign_keys = ON;
-PRAGMA journal_mode = WAL;
-PRAGMA busy_timeout = 5000;
+`[必须]` 三条设置通过**连接串**传入，**不要**用 `db.Exec("PRAGMA ...")`：
+
+```go
+dsn := "file:" + path +
+    "?_pragma=busy_timeout(5000)" +
+    "&_pragma=journal_mode(WAL)" +
+    "&_pragma=foreign_keys(1)"
+db, _ := sql.Open("sqlite", dsn)
 ```
 
+| 设置 | 作用 |
+|---|---|
+| `busy_timeout(5000)` | 拿不到锁时最多等 5 秒，而不是立刻报错 |
+| `journal_mode(WAL)` | 读和写可以同时进行，不互相锁死 |
+| `foreign_keys(1)` | 打开外键约束（SQLite 默认是**关**的） |
+
+**为什么不能用 `db.Exec`：** Go 的 `database/sql` 是一个**连接池**。
+`db.Exec("PRAGMA busy_timeout=5000")` 只作用于当时拿到的那一条连接，
+池子后来新开的连接**完全没执行过**这些 PRAGMA。
+并发写的时候，没有 `busy_timeout` 的那些连接会直接报
+`database is locked (SQLITE_BUSY)`，而不是等锁释放。
+
+这个坑在开发时不容易发现——单线程跑一切正常，一并发就炸。
+本项目的并发领取测试就是被它绊倒过一次。
+
+`[建议]` 同时限制连接数：
+
+```go
+db.SetMaxOpenConns(4)
+db.SetMaxIdleConns(4)
+```
+
+SQLite 同一时刻只允许一个写事务，连接放太开会互相抢锁、把 `busy_timeout` 耗光。
+**不要设成 1**——那样在一个事务里再调用需要连接的代码会死锁。
+
+### 2.2 迁移
+
 用 `PRAGMA user_version` 管理顺序迁移。
 
+`[必须]` 迁移语句**一条一执行**，不要把多条 SQL 塞进一个字符串——
+`database/sql` 的 `Exec` 对"一次执行多条语句"的支持因驱动而异，
+拆开最稳妥，报错还能精确到第几条。
+
 `[必须]` 升级必须支持从所有已发布版本迁移，**不得在启动时删库重建**。
 理由：`data/` 在升级时是保留的（见 [02](02-architecture.md) §6），
 里面有人工填了几个月的 PDD 链接和 SKU 映射，删掉就没了。
 
+`[必须]` 加新版本时**只能往末尾追加** `migrations`，不许改动已有元素——
+已经发布出去的库是按旧语句建的，改了会导致新旧库结构不一致。
+
 ## 3. 蝦皮数据
 
 蝦皮报表**一个文件里混了两层数据**，所以拆成两张表。

docs/admin/04-client-api.md

@@ -103,11 +103,18 @@ X-Client-Id: client-001          ← 序列号，主键
 
 ```text
 upsert clients：
-  没有该 client_id → 新增，name 用上报的（没有就用 client_id）
-  已有             → 更新 device/capabilities/last_seen_at
-                     name 若已被人工改过，不要覆盖
+  没有该 client_id → 新增，name 用上报的（没有就用 client_id 兜底）
+  已有             → 更新 device / capabilities / last_seen_at
+                     **name 不更新**
 ```
 
+`[必须]` `name` **只在第一次注册时写入，之后的 claim 一律不更新它**。
+
+这样操作员在界面上改成好记的名字（"仓库那台"）之后，
+客户端每次 claim 都不会把它覆盖回上报的默认名。
+实现上就是 `ON CONFLICT ... DO UPDATE SET` 里**不包含 `name`**，
+不需要额外加"是否人工改过"的标记列。
+
 `[必须]` `result` 和 `failure` 接口**也要刷新 `last_seen_at`**。
 否则客户端执行长任务期间不调 claim，会被误判成离线。