feat(auth): implement user and device authentication

docs/00-ai-start-here.md

@@ -53,9 +53,8 @@
 
 当前已完成 Phase 0 和 Phase 1：Android 可运行、设备就绪、workflow、私有样本导入、
 动态词搜索、最多 5 个候选截图采集、结构化需求提取、候选评估和人工确认停止点均已
-验证。T-201 后端骨架、T-202 P0 原型和 T-203 任务 API/管理 Web 均已完成。下一步
-按编号开始 T-204，实现正式管理账号、角色、会话和设备身份；在此之前业务路由只
-允许 loopback，不能部署给局域网用户使用。
+验证。T-201 后端骨架、T-202 P0 原型、T-203 任务 API/管理 Web 和 T-204 最小鉴权
+均已完成。下一步按编号开始 T-205，实现 App 原子领取、租约和任务状态机。
 
 严格按以下顺序推进：
 
@@ -106,11 +105,15 @@ $env:RUN_START_COMMAND = "1"
 ```
 
 脚本先执行 Android `test assembleDebug`，再以 `GOTOOLCHAIN=local` 执行后端
-`go test ./...`、`go vet ./...` 并构建 API 与 migration 两个入口。后端单独运行：
+`go test ./...`、`go vet ./...` 并构建 API、migration 与 authctl 三个入口。后端
+单独运行：
 
 ```powershell
 Set-Location backend-api
 $env:GOTOOLCHAIN = "local"
 go run ./cmd/migrate up
+$env:CMROUBAO_AUTH_PASSWORD = "至少 12 个 UTF-8 字节"
+go run ./cmd/authctl create-user ADMIN admin
+Remove-Item Env:CMROUBAO_AUTH_PASSWORD
 go run ./cmd/api
 ```