feat(backend): establish gin sqlite service skeleton

docs/05-coding-rules.md

@@ -83,6 +83,14 @@
 - 不向客户端返回 `password_hash`、`token_hash`、存储绝对路径或供应商密钥。
 - 通用错误使用稳定 code 和可读 message；内部堆栈只进受控日志。
 - 文件访问通过鉴权接口，防止路径遍历和猜测 URL。
+- Go 命令固定 `GOTOOLCHAIN=local`；`go.mod` 不得出现更高 Go 版本或未固定的
+  `@latest` 依赖。
+- 后端不得自动加载 `.env`、默认开启 CORS、使用包级数据库单例，或在库、handler、
+  健康检查中调用 `log.Fatal`/`os.Exit`。
+- `http.Server` 必须配置 read-header/read/write/idle/header 上限和有界关闭；
+  recovery 不得把 Authorization、Cookie、panic 或请求正文写普通日志。
+- SQLite 数据文件必须位于被忽略目录，启用 foreign keys、有限 busy timeout 和
+  WAL；连接由进程入口显式关闭，migration 使用固定版本和受控 SQL 文件。
 
 ## 7. 安全与隐私
 
@@ -125,6 +133,7 @@
 - [ ] 当前任务文件记录命令、结果、环境和未验证项。
 - [ ] `current-state.md` 与真实目录、命令和 blocker 一致。
 
-当前 Android 标准验证命令是根目录 `.\init.ps1`；它执行 Gradle `test` 和
-`assembleDebug`。设置 `RUN_START_COMMAND=1` 时使用 SDK 内新版 ADB 安装并启动。
-后端建立后再在这里列出后端命令。
+项目标准验证命令是根目录 `.\init.ps1`；它执行 Android Gradle `test` 和
+`assembleDebug`，再以 `GOTOOLCHAIN=local` 执行后端 `go test ./...`、
+`go vet ./...`、`gofmt` 检查和两个入口构建。设置 `RUN_START_COMMAND=1` 时使用
+SDK 内新版 ADB 安装并启动 Android App。