feat(M1): 认证与用户管理 — 双通道登录、cookie 会话、用户 CRUD 与真实系统账号对接

认证：
- 图形验证码 GET /auth/captcha（内置 PNG 渲染，零第三方依赖）
- 外部用户 OTP 双通道：DB 存储（otp_codes）使邮件与 CLI 共用同一验证码/冷却/失败限速
- 管理员 bcrypt 登录 + 连续失败限速锁定；admin/forgot + admin/reset 邮件重置（SMTP 或日志）
- cookie 会话（HttpOnly/SameSite）、me/logout、admin/user 鉴权中间件

用户管理（admin）：
- CRUD + disable/enable/extend/delete，对接 system 层真实 useradd/usermod/userdel/passwd
- system 层三执行模式：dry-run（默认，安全）/ direct（容器/测试用户）/ sudo（生产 sudoers 白名单）
- Exists 系统账号一致性检查；deploy/sudoers.example 白名单模板
- 关键操作接入 append-only 审计

其他：
- CLI user otp 改 DB store，与邮件通道真正对齐
- 容器镜像补 shadow（alpine 无 useradd）；Makefile VERSION 0.2.0-m1
- 测试：auth/service 单测 + api httptest 集成 + 容器内真实系统账号端到端验证

internal/auth/captcha.go

@@ -14,10 +14,11 @@ var ErrCaptchaInvalid = errors.New("auth: 图形验证码错误")
 // Captcha 图形验证码（防机器人，登录前置）。
 type Captcha struct {
 	ID   string
-	Text string // M1 生成图像渲染，此处仅存文本
+	Text string
 }
 
-// CaptchaStore 为图形验证码存储（M1 实现图像渲染）。
+// CaptchaStore 为图形验证码存储。单实例内存实现为默认；
+// 多实例部署需改 DB/Redis（PLAN §6 注明）。
 type CaptchaStore interface {
 	// New 生成一个验证码并返回其 ID。
 	New() (*Captcha, error)
@@ -27,6 +28,7 @@ type CaptchaStore interface {
 
 // MemoryCaptchaStore 单实例内存实现。
 type MemoryCaptchaStore struct {
+	ttl     time.Duration
 	mu      sync.Mutex
 	entries map[string]*captchaEntry
 }
@@ -37,8 +39,8 @@ type captchaEntry struct {
 }
 
 // NewMemoryCaptchaStore 创建内存图形验证码存储。
-func NewMemoryCaptchaStore() *MemoryCaptchaStore {
-	return &MemoryCaptchaStore{entries: make(map[string]*captchaEntry)}
+func NewMemoryCaptchaStore(ttl time.Duration) *MemoryCaptchaStore {
+	return &MemoryCaptchaStore{ttl: ttl, entries: make(map[string]*captchaEntry)}
 }
 
 func (s *MemoryCaptchaStore) New() (*Captcha, error) {
@@ -52,7 +54,7 @@ func (s *MemoryCaptchaStore) New() (*Captcha, error) {
 	}
 	s.mu.Lock()
 	defer s.mu.Unlock()
-	s.entries[id] = &captchaEntry{text: text, expiresAt: time.Now().Add(5 * time.Minute)}
+	s.entries[id] = &captchaEntry{text: text, expiresAt: time.Now().Add(s.ttl)}
 	return &Captcha{ID: id, Text: text}, nil
 }