docs: 定义 Admin 登录与账号管理基线 (#49)

docs/admin/01-requirements.md

@@ -19,10 +19,12 @@ Admin 的职责是把这三方的数据串起来，最终产出 Client 能执行
 3. 把蝦皮的颜色尺码，对应到拼多多的颜色尺码，**且这个对应关系可复用**。
 4. 生成采购任务并分配给指定客户端，跟踪执行结果。
 5. 管理客户端清单，知道谁在干活。
+6. 通过登录保护 Admin 网页，并由管理员维护采购员账号。
 
 ## 2. 用户与外部系统
 
-- **操作人员：**导入报表、填 PDD 链接、发起采集、做规格匹配、创建并分配任务、处理异常。
+- **管理员：**首次初始化 Admin，执行全部业务操作，并创建、禁用或重置采购员账号。
+- **采购员：**登录后执行现有业务操作，但不能管理用户。
 - **Client：**领取任务、在安卓设备上执行、提交结果。契约见 [Client 侧文档](../client/04-admin-api-contract.md)。
 - **蝦皮：**只提供 Excel 报表导出，**没有接口对接**。
 - **顺运宝：**提供货运单，`[待定]` 同步方式待确认，MVP 先做占位按钮。
@@ -396,13 +398,15 @@ MVP 包含：
 - 规格匹配弹窗与可复用映射；
 - 创建采购任务并分配客户端；
 - 给 Client 的四个接口：登记、领取、提交结果、提交失败；
-- 客户端自动注册与在线状态。
+- 客户端自动注册与在线状态；
+- 第一次启动时初始化一个管理员；
+- Admin 网页登录、退出和 Session；
+- 管理员创建、禁用和重置采购员账号。
 
 MVP 之后：
 
 - 接入顺运宝真实同步；
 - 打包成 exe；
-- 权限与多用户；
 - 统计报表。
 
 ## 9. 非目标
@@ -411,7 +415,9 @@ MVP 之后：
 - 不直接对接蝦皮和拼多多的接口。
 - 不自动决定买哪个商品——PDD 链接和规格匹配都由人确认。
 - 不自动付款。
-- MVP 不做用户登录和权限体系。
+- 不开放用户自助注册；第一个管理员只能通过首次初始化创建。
+- 不做复杂 RBAC、细粒度页面权限、单点登录和第三方登录。
+- 本阶段不做 Client 登录或 API Key，不改变 Client 四接口契约。
 
 ## 10. 非功能需求
 
@@ -419,6 +425,7 @@ MVP 之后：
 - 页面在 1366×768 上可正常使用。
 - 导入 1 万行 Excel 应在可接受时间内完成，并显示进度或结果统计。
 - 所有写操作有 CSRF 防护，所有 SQL 参数化。
+- 密码只保存成熟算法生成的哈希；Session 有过期、退出和账号禁用失效机制。
 - 日志、页面、导出不含 token、密码、Cookie。
 - 数据放程序旁边的 `data/`，便携模式，见 [02 架构](02-architecture.md) §6。
 
@@ -430,7 +437,7 @@ MVP 之后：
 |---|---|---|
 | 1 | 顺运宝同步方式（接口？导出文件？） | 按钮占位，数据靠手工录入或造数 |
 | 2 | 蝦皮有无全量规格导出 | 没有。靠反复导入累积 + 手动新增补齐 |
-| 3 | Admin 是否需要登录 | MVP 不做，仅本机/内网访问 |
+| 3 | Admin 是否需要登录 | 已定案：MVP 实现管理员初始化、网页登录和最小账号管理 |
 | 4 | 是否需要利润和汇率展示 | 不做 |
 
 **已定案：**
@@ -444,4 +451,7 @@ MVP 之后：
 - SKU 映射**独立成表且可复用**，同一蝦皮 SKU 只人工匹配一次。
 - 货运单的"规格 SKU"**直接对应蝦皮 `商品規格ID`**，不需要转换。
   但**不加外键**——本地查不到该 SKU 是常态，见 [03 数据模型](03-data-model.md) §4。
+- Admin 不提供固定默认密码；第一次启动由用户创建第一个管理员，之后初始化入口永久关闭。
+- 账号只有 `admin`（管理员）和 `purchaser`（采购员）两种固定角色；采购员不能管理用户。
+- Web 登录只保护 HTML 页面，`/api/v1/client/*` 不使用网页登录 Session，现有 Client 行为保持不变。
 - Go 版本固定 **1.23.0**。