feat(auth): implement user and device authentication

README.md

@@ -30,7 +30,8 @@ cmroubao/
 ```
 
 管理人员使用 Web 管理端，采购人员使用 Android App；二者共享同一后端、任务数据
-和权限体系。验证版先使用单管理账号和设备身份，完整 RBAC 放到验证通过后。
+和权限体系。验证版已实现 ADMIN 服务端会话、BUYER 账号和预授权设备联合身份，
+完整 RBAC 放到验证通过后。
 
 后端采用 Go 1.23.0 + Gin 1.11.0，以 Go Blueprint v0.10.11 为一次性骨架参考，
 已收敛出 SQLite、Goose 迁移、健康检查和可关闭的 HTTP Server；业务 API 按 Phase 2
@@ -61,6 +62,9 @@ fixture，默认 APK 不携带真实订单资料。
 Set-Location backend-api
 $env:GOTOOLCHAIN = "local"
 go run ./cmd/migrate up
+$env:CMROUBAO_AUTH_PASSWORD = "至少 12 个 UTF-8 字节"
+go run ./cmd/authctl create-user ADMIN admin
+Remove-Item Env:CMROUBAO_AUTH_PASSWORD
 go run ./cmd/api
 ```
 
@@ -80,5 +84,5 @@ go run ./cmd/api
 - [当前实现状态](docs/current-state.md)
 - [完整文档导航](docs/README.md)
 
-Android Phase 0/1 已完成，Go 后端基础骨架已建立。真实状态以
+Android Phase 0/1 和后端 T-201 至 T-204 已完成。真实状态以
 [`docs/current-state.md`](docs/current-state.md) 为准。