docs: 定义 Admin 登录与账号管理基线 (#49)

docs/admin/06-quality-security.md

@@ -28,6 +28,9 @@
 - 金额换算显示（分 ↔ 元），边界值 0 和大额；
 - SKU 映射复用：第二次匹配同一 SKU 应自动带出；
 - 在线状态派生：`last_seen_at` 刚好在边界前后。
+- 密码哈希校验：正确密码成功，错误密码失败，数据库不出现明文密码；
+- 角色校验：管理员可以管理用户，采购员访问用户管理返回 `403`；
+- 最后管理员保护：不能禁用最后一个有效管理员。
 
 `[必须]` 导入相关的测试用 `admin/testdata/` 下的**小样本**（几十行），
 不要读完整报表。
@@ -61,6 +64,10 @@
 - 空数据、少量数据、大量数据三种情况；
 - 批量删除的二次确认存在；
 - 校验失败时输入不丢。
+- 没有用户时业务页面跳转初始化页，初始化后入口永久关闭；
+- 未登录访问业务页面跳转登录页，登录后正常渲染；
+- 退出、Session 过期、密码重置和账号禁用后不能继续访问；
+- Client API 不返回登录页或 302 重定向。
 
 ### 2.4 契约测试
 
@@ -93,6 +100,15 @@
   不能 panic 把整个进程带崩。
 - `[必须]` 文件名不得直接用于拼路径（路径穿越），落盘时用自己生成的名字。
 - `[建议]` MVP 只监听 `127.0.0.1`，不对外暴露。要给内网用再单独评估。
+- `[必须]` 不提供固定默认密码和公开注册；第一位管理员由用户首次初始化。
+- `[必须]` 密码使用成熟算法哈希，禁止自创加密、明文保存或可逆加密。
+- `[必须]` 首次管理员创建必须在数据库写事务中完成，并发请求最多一个成功。
+- `[必须]` 登录成功后使用新的随机 Session Token，数据库只保存其 SHA-256 哈希。
+- `[必须]` 登录 Cookie 设置 `HttpOnly`、`SameSite=Lax`、`Path=/`；HTTPS 部署时设置 `Secure`。
+- `[必须]` Session 默认 12 小时过期；退出、密码重置和账号禁用立即撤销对应 Session。
+- `[必须]` `/setup`、`/login`、`/logout` 和用户管理写操作都保留 CSRF 防护。
+- `[必须]` Web 登录中间件只保护 HTML 路由，不得覆盖 `/api/v1/client/*`。
+- `[建议]` 对连续登录失败做简单限速；错误提示不区分用户名不存在和密码错误。
 
 ## 5. 错误处理
 
@@ -131,6 +147,8 @@
 - `task_result_received`
 - `task_result_received_but_cancelled` ← 这条要单独记，方便事后对账
 - `client_registered`
+- `admin_initialized`、`user_login_succeeded`、`user_login_failed`
+- `user_created`、`user_disabled`、`user_enabled`、`user_password_reset`
 
 `[必须]` **不得记录** token、密码、Cookie，也不要把完整请求体无脑打进日志。
 
@@ -157,6 +175,9 @@
 | 8 | 干净环境启动 | 没装过本项目的机器上 `go run .` 或跑 exe | 开发者 |
 | 9 | 日志和页面无敏感信息 | 翻一遍 `data/logs/` | 开发者 |
 | 10 | 开源许可证已确认 | 新增依赖的许可证 | **项目负责人** |
+| 11 | 登录与角色测试通过 | 初始化、登录、退出、禁用、最后管理员保护 | 开发者 |
+| 12 | Client API 回归通过 | 四接口不重定向、不返回 HTML，契约测试全绿 | 开发者 |
+| 13 | Session 安全属性正确 | 检查 Cookie 属性、过期和撤销 | 开发者 |
 
 第 10 项开发者**不要自己判断放行**，把包名和许可证类型报给项目负责人。