feat(auth): implement user and device authentication

docs/07-user-stories.md

@@ -144,7 +144,7 @@
 
 **范围**
 
-- 包含：登录、退出、设备绑定、会话过期处理。
+- 包含：管理登录/退出、预授权设备首次绑定、会话过期处理。
 - 不包含：自助注册、找回密码、完整用户管理和 SSO。
 
 **验收场景**
@@ -156,6 +156,7 @@
 
 ## 待确认
 
-- 管理账号和采购账号的初始化、重置流程。
+- 密码重置流程后置；T-204 使用本地 `authctl` 显式创建种子 ADMIN/BUYER 和预授权
+  设备，不提供管理 UI 或客户端自助登记。
 - 谁负责确认测试任务、如何标注“候选可接受”的统一口径。
 - 拒绝候选是否允许创建新任务，当前默认只记录结果。