feat(authctl): support password reset

backend-api/README.md

@@ -39,13 +39,16 @@ go build -o bin/cmroubao-authctl.exe ./cmd/authctl
 go run ./cmd/migrate up
 go run ./cmd/migrate status
 
-$env:CMROUBAO_AUTH_PASSWORD = "至少 6 个 UTF-8 字节"
+$env:CMROUBAO_AUTH_PASSWORD = "至少 5 个 UTF-8 字节"
 go run ./cmd/authctl create-user ADMIN admin
 Remove-Item Env:CMROUBAO_AUTH_PASSWORD
 
-$env:CMROUBAO_AUTH_PASSWORD = "采购员独立强密码，至少 6 个 UTF-8 字节"
+$env:CMROUBAO_AUTH_PASSWORD = "采购员独立强密码，至少 5 个 UTF-8 字节"
 go run ./cmd/authctl create-user BUYER buyer01
 Remove-Item Env:CMROUBAO_AUTH_PASSWORD
+$env:CMROUBAO_AUTH_PASSWORD = "账号新密码，至少 5 个 UTF-8 字节"
+go run ./cmd/authctl reset-password admin
+Remove-Item Env:CMROUBAO_AUTH_PASSWORD
 go run ./cmd/authctl create-device buyer-phone-01
 # 发生人员离岗或设备风险时，现有凭证会随禁用立即失效
 go run ./cmd/authctl disable-user buyer01
@@ -57,7 +60,8 @@ go run ./cmd/api
 API 启动前会检查全部 migration 已应用；发现 pending migration 会拒绝启动并提示先
 执行 `go run ./cmd/migrate up`，不会在服务进程内自动改表。
 
-`authctl create-user` 的密码只从 `CMROUBAO_AUTH_PASSWORD` 读取，不接受命令行密码。
+`authctl create-user` 和 `authctl reset-password` 的密码只从
+`CMROUBAO_AUTH_PASSWORD` 读取，不接受命令行密码。
 `create-device` 只在成功时输出一次设备 ID 和 256 bit 设备 token；原值应立即放入
 设备安全配置，不得写入 Git、普通日志或共享文档。`enable-user`、`disable-user`、
 `enable-device`、`disable-device` 是受支持的本地停用/恢复入口；禁用会让该主体的