feat(M1): 认证与用户管理 — 双通道登录、cookie 会话、用户 CRUD 与真实系统账号对接

认证：
- 图形验证码 GET /auth/captcha（内置 PNG 渲染，零第三方依赖）
- 外部用户 OTP 双通道：DB 存储（otp_codes）使邮件与 CLI 共用同一验证码/冷却/失败限速
- 管理员 bcrypt 登录 + 连续失败限速锁定；admin/forgot + admin/reset 邮件重置（SMTP 或日志）
- cookie 会话（HttpOnly/SameSite）、me/logout、admin/user 鉴权中间件

用户管理（admin）：
- CRUD + disable/enable/extend/delete，对接 system 层真实 useradd/usermod/userdel/passwd
- system 层三执行模式：dry-run（默认，安全）/ direct（容器/测试用户）/ sudo（生产 sudoers 白名单）
- Exists 系统账号一致性检查；deploy/sudoers.example 白名单模板
- 关键操作接入 append-only 审计

其他：
- CLI user otp 改 DB store，与邮件通道真正对齐
- 容器镜像补 shadow（alpine 无 useradd）；Makefile VERSION 0.2.0-m1
- 测试：auth/service 单测 + api httptest 集成 + 容器内真实系统账号端到端验证

deploy/Containerfile

@@ -49,7 +49,8 @@ RUN CGO_ENABLED=0 go build -trimpath -ldflags="-s -w" -o /out/usernode ./cmd/use
 
 # ---------- 阶段 3：运行镜像 ----------
 FROM alpine:3.20
-RUN apk add --no-cache ca-certificates tzdata \
+# shadow 提供 useradd/usermod/userdel/passwd（alpine 默认 busybox 无 useradd）
+RUN apk add --no-cache ca-certificates tzdata shadow \
     && addgroup -S usernode && adduser -S -G usernode usernode
 COPY --from=go-build /out/usernode /usr/local/bin/usernode
 

deploy/sudoers.example

@@ -0,0 +1,23 @@
+# ws_usernode 节点专有用户 sudoers 白名单（生产部署）
+#
+# 安装：将本文件复制为 /etc/sudoers.d/usernode 并执行 `visudo -c` 校验。
+# 节点进程以 usernode 用户运行，仅允许以 root 执行固定命令（禁任意 shell），
+# 命令参数由程序内强校验（pkg.ValidateSystemAccount 等），见 PLAN §9。
+#
+# 注意：以下命令路径基于 Debian/Ubuntu（/usr/sbin）。Alpine 为 /usr/sbin；
+# 请按发行版调整，并确保 usernode 用户无 NOPASSWD 的通用提权入口。
+
+usernode ALL=(root) NOPASSWD: /usr/sbin/useradd, /usr/sbin/usermod, \
+    /usr/sbin/userdel, /usr/bin/passwd
+
+# 说明：
+# - useradd -m -d <home> -s <shell> -g external <name>  创建账号
+# - usermod 预留（如 usermod -e 过期），M4 回收期使用
+# - userdel -r <name>                                  删除账号及家目录
+# - passwd -l / -u <name>                              锁定/解锁口令
+# - 不授予 chsh/其他命令的任意执行；若需变更默认 shell 请收紧为固定参数
+#
+# 生产禁止 system.sudo=false 的 direct 模式：必须显式配置
+#   [system]
+#   sudo = true
+#   dry_run = false