feat: 搭建 Admin 项目骨架（Go + Gin + html/template）

可运行的骨架：四个页面能打开、数据库自动建表、给 Client 的三个接口
按契约响应。业务逻辑留 35 处 TODO(骨架)，每处标明要点和文档章节。

结构（对应 docs/admin/02-architecture.md §2/§3）
- handler/web + handler/api 分开：页面要 CSRF、出错渲染错误页；
  接口要认证、出错返回 JSON。混在一起迟早写错
- service 不认识 *gin.Context，方便不起服务器直接单测
- 只有 repository 能写 SQL
- 模板用 {{define "目录/名字"}}，一次全部 ParseFS 进来不冲突
- 模板和静态资源用 //go:embed 打进二进制

已实测（Go 1.23.0，本机验证）
- go build / go vet / gofmt 全部通过
- 单文件产物 34MB，无需 cgo
- 四个页面 + 静态资源均 200，/ 正确 302 到 /shopee
- 建表 7 张 + 索引 10 个，user_version=1，二次启动不重复建表
- claim 带 X-Client-Id 返回 204（无任务可领），
  缺 X-Client-Id 返回 400 + 契约格式的 JSON 错误体

依赖版本被 Go 1.23.0 卡死，已钉住并写进文档
- gin v1.11.0        （v1.12.0 起要求 Go >= 1.25.0）
- modernc.org/sqlite v1.38.0（v1.40.0 起要求 >= 1.24.0，v1.48.0 起 >= 1.25.0）
- excelize v2.9.1    （尚未入 go.mod，写导入功能时再加）
直接 go get 不带版本会拉到最新版并报 requires go >= 1.25.0，
所以文档里的命令一律带版本号。要升依赖就得先升 Go。

一处主动调整：迁移语句从「一个字符串装多条 SQL」改成 [][]string 逐条执行。
database/sql 的 Exec 对一次多条语句的支持因驱动而异，拆开最稳妥，
报错还能精确到第几条。

说明：Gitea 尚未配置，本次无对应工单号。
admin/testdata/ 只有 README，脱敏小样本需人工制作。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

admin/handler/web/web.go

@@ -0,0 +1,80 @@
+// Package web 是给浏览器用的页面处理器。
+//
+// 和 handler/api 分开是有意的：页面出错要渲染错误页、要 CSRF 防护，
+// 接口出错要返回 JSON、要认证。混在一起迟早写错。
+//
+// 改动本文件前必读 admin/AGENTS.md。两条最容易踩：
+//   - 本层**不写业务逻辑、不拼 SQL**，只做取参数 → 调 service → 渲染；
+//   - 删除、导入这类破坏性操作用 POST，**不得用 GET**，
+//     浏览器和插件会预取 GET 链接。
+package web
+
+import (
+	"database/sql"
+	"net/http"
+
+	"github.com/gin-gonic/gin"
+)
+
+// Handler 持有各页面共用的依赖。
+type Handler struct {
+	db *sql.DB
+}
+
+// Register 把四个模块的页面路由挂上去。
+//
+// 四个模块的页面结构完全一致（顶部工具条 / 中间带勾选的表格 / 底部状态条），
+// 这是有意的，见 docs/admin/05-ui-specification.md §2。
+func Register(r *gin.Engine, db *sql.DB) {
+	h := &Handler{db: db}
+
+	// 打开根路径直接进第一个模块
+	r.GET("/", func(c *gin.Context) {
+		c.Redirect(http.StatusFound, "/shopee")
+	})
+
+	// 1. 蝦皮数据
+	r.GET("/shopee", h.ShopeeList)
+	r.POST("/shopee/import", h.ShopeeImport)
+	r.POST("/shopee/save", h.ShopeeSave)
+	r.POST("/shopee/delete", h.ShopeeDelete)
+	r.POST("/shopee/collect", h.ShopeeCollect)
+
+	// 2. 顺运宝数据
+	r.GET("/syb", h.SybList)
+	r.POST("/syb/sync", h.SybSync)
+	r.POST("/syb/match", h.SybMatch)
+	r.POST("/syb/create-task", h.SybCreateTask)
+	r.POST("/syb/delete", h.SybDelete)
+
+	// 3. 采购任务
+	r.GET("/tasks", h.TaskList)
+	r.POST("/tasks/delete", h.TaskDelete)
+
+	// 4. 客户端列表
+	r.GET("/clients", h.ClientList)
+	r.POST("/clients/delete", h.ClientDelete)
+}
+
+// page 组装每个页面都要的公共数据（导航高亮、标题）。
+func page(active, title string, extra gin.H) gin.H {
+	data := gin.H{
+		"Active": active,
+		"Title":  title,
+	}
+	for k, v := range extra {
+		data[k] = v
+	}
+	return data
+}
+
+// fail 渲染一个错误页。
+//
+// 错误信息要说清三件事：发生了什么、保住了什么、下一步做什么。
+// Go 的错误堆栈只写日志，不要贴到页面上，见 docs/admin/06-quality-security.md §5。
+func fail(c *gin.Context, status int, message string) {
+	c.HTML(status, "partials/error", gin.H{
+		"Title":   "出错了",
+		"Message": message,
+	})
+}