feat(auth): implement user and device authentication

docs/02-requirements.md

@@ -59,6 +59,15 @@
 8. MVP 的“成功”表示完成验证闭环并得到人工确认的候选结果，
    `order_submitted` 必须为 `false`。
 9. 取消和失败不得自动转成新任务；是否重试由人员显式决定。
+10. 管理页面和管理 API 只允许有效 ADMIN 会话；App 执行接口只允许有效 BUYER 与
+    预授权设备联合身份，两种凭证不能互换。
+11. 设备只能由本地管理命令预授权；首次 BUYER 登录可原子绑定空闲设备，客户端
+    不能自助登记、抢占或重新绑定他人设备。
+12. 密码、设备 secret、管理 session 和 App access token 不得以明文持久化或进入
+    普通日志；禁用用户或设备后，已有凭证必须立即失效。
+13. 管理登录和 App token 登录必须在高成本密码校验前按服务端观察到的来源地址限流；
+    超限返回通用错误和重试时间，不得泄露账号、角色或设备是否存在。
+14. 管理员创建和取消任务时，任务事件必须记录真实 ADMIN actor；历史事件允许为空。
 
 ## 六、第一层本地样本约定
 
@@ -113,6 +122,8 @@ T-004 已固定首版规则：推荐私有目录为被 Git 忽略的 `private-fi
   `order_submitted` 固定为 `false`。
 - F-007/US-006/IX-008：失败包含稳定错误码、失败步骤、可读说明和必要截图；重新
   打开任务后证据仍可查看。
+- US-007/IX-001/IX-004：管理员可登录和退出，采购员可用预授权设备取得 1 小时
+  Bearer token；匿名、角色错误、禁用、过期、篡改和跨端凭证替代均被拒绝。
 
 ### 试验验收
 
@@ -135,7 +146,7 @@ T-004 已固定首版规则：推荐私有目录为被 Git 忽略的 `private-fi
 | 搜索方式 | 先验证关键词搜索；拼多多原生以图搜图作为后续可选路径。 |
 | 搜索结果 | 最多检查前 5 个可见候选，避免无界遍历。 |
 | 下单边界 | MVP 停在候选或订单确认页，不提交订单、不支付。 |
-| 账号边界 | 验证版为单管理身份 + 设备身份；完整人员 RBAC 后置。 |
+| 账号边界 | 验证版为 ADMIN 会话 + BUYER/预授权设备联合身份；完整人员 RBAC 后置。 |
 | 第一层任务输入 | 从本机私有蝦皮订单文件生成测试任务，不先建设 Go-Gin。 |
 
 ## 九、待确认与风险