feat(M0): 工程骨架 — Go 后端 + Vue3 前端脚手架

- Go 工程：cmd/usernode CLI（serve/migrate/admin create/reset-password/user otp）
  + internal/{config,model,service,system,auth,cron,api,router,server,pkg,webui}
- 配置：TOML + 环境变量覆盖（USERNODE_<SEC>_<FIELD>），config.example.toml
- 数据：GORM 双驱动（SQLite/MySQL）8 表模型，migrate 子命令可跑通
- 系统层：system.Manager 接口（useradd/userdel/passwd 白名单，dev dry-run）
- HTTP：Gin 路由骨架（/api/v1 + 501 占位），healthz，slog 结构化日志，优雅启停
- 前端：Vite + Vue3 + TS + Element Plus 最小可运行（web/），go:embed 打通
- 构建：deploy/Containerfile 多阶段单二进制镜像，web/Containerfile.dev 前端 dev
  镜像，Makefile（build/test/dev/web-build/image）；go.mod 锁定 go 1.22
- 验证：go build/vet/test 通过；podman 镜像构建运行 healthz+embed 通过

internal/api/admin.go

@@ -0,0 +1,53 @@
+package api
+
+import (
+	"net/http"
+	"strings"
+
+	"github.com/gin-gonic/gin"
+
+	"ws_usernode/internal/service"
+)
+
+// AdminHandler 管理员账号相关接口（M1 完成登录；create/reset 走 CLI）。
+type AdminHandler struct {
+	svc *service.AdminService
+}
+
+// AdminCreateRequest 管理员创建请求。
+type AdminCreateRequest struct {
+	Username string `json:"username" binding:"required"`
+	Password string `json:"password" binding:"required"`
+	Email    string `json:"email" binding:"required"`
+}
+
+// Create 创建管理员（仅初始引导用，M1 前可经此接口快速建号）。
+func (h *AdminHandler) Create(c *gin.Context) {
+	if h.svc == nil {
+		fail(c, http.StatusNotImplemented, "管理员服务未初始化")
+		return
+	}
+	var req AdminCreateRequest
+	if err := c.ShouldBindJSON(&req); err != nil {
+		fail(c, http.StatusBadRequest, "请求参数不合法: "+err.Error())
+		return
+	}
+	adm, err := h.svc.Create(c.Request.Context(), req.Username, req.Password, req.Email)
+	if err != nil {
+		switch {
+		case strings.Contains(err.Error(), "已存在"):
+			fail(c, http.StatusConflict, err.Error())
+		case strings.Contains(err.Error(), "过弱"):
+			fail(c, http.StatusBadRequest, err.Error())
+		default:
+			fail(c, http.StatusInternalServerError, err.Error())
+		}
+		return
+	}
+	ok(c, gin.H{"id": adm.ID, "username": adm.Username})
+}
+
+// Me 返回当前管理员（M1 接入会话后启用）。
+func (h *AdminHandler) Me(c *gin.Context) {
+	fail(c, http.StatusNotImplemented, "会话尚未接入（M1）")
+}

internal/api/handler.go

@@ -0,0 +1,57 @@
+// Package api 为 HTTP handler 层（RESTful v1）。
+// M0 提供健康检查与模块路由骨架；各模块 handler 在对应里程碑填充。
+package api
+
+import (
+	"net/http"
+	"runtime"
+	"time"
+
+	"github.com/gin-gonic/gin"
+
+	"ws_usernode/internal/service"
+)
+
+// Handler 聚合各模块 handler，作为路由注册的挂载点。
+type Handler struct {
+	Health *HealthHandler
+	Admin  *AdminHandler
+	User   *UserHandler
+	// Auth / Keys / Approval / Audit / Settings 等模块在 M1~M4 填充
+}
+
+// New 创建 handler 集合。M0 阶段部分服务可为 nil，路由只挂已实现模块。
+func New(adminSvc *service.AdminService, userSvc *service.UserService, auditSvc *service.AuditService) *Handler {
+	h := &Handler{
+		Health: &HealthHandler{startedAt: time.Now()},
+		Admin:  &AdminHandler{svc: adminSvc},
+		User:   &UserHandler{svc: userSvc},
+	}
+	_ = auditSvc
+	return h
+}
+
+// HealthHandler 健康检查。
+type HealthHandler struct {
+	startedAt time.Time
+}
+
+func (h *HealthHandler) Healthz(c *gin.Context) {
+	c.JSON(http.StatusOK, gin.H{
+		"status":    "ok",
+		"version":   "0.1.0-m0",
+		"uptime":    time.Since(h.startedAt).String(),
+		"go":        runtime.Version(),
+		"timestamp": time.Now().UTC().Format(time.RFC3339),
+	})
+}
+
+// ok 统一成功响应。
+func ok(c *gin.Context, data any) {
+	c.JSON(http.StatusOK, gin.H{"data": data})
+}
+
+// fail 统一错误响应。
+func fail(c *gin.Context, status int, msg string) {
+	c.JSON(status, gin.H{"error": msg})
+}

internal/api/user.go

@@ -0,0 +1,55 @@
+package api
+
+import (
+	"net/http"
+	"strings"
+
+	"github.com/gin-gonic/gin"
+
+	"ws_usernode/internal/service"
+)
+
+// UserHandler 外部用户接口（列表/详情/创建等，M1 填充 CRUD 与系统操作）。
+type UserHandler struct {
+	svc *service.UserService
+}
+
+// UserCreateRequest 管理员创建外部用户请求。
+type UserCreateRequest struct {
+	Username   string `json:"username" binding:"required"` // 不含 ext_ 前缀
+	Email      string `json:"email" binding:"required"`
+	Supervisor string `json:"supervisor"`
+	Purpose    string `json:"purpose"`
+	TTLDays    int64  `json:"ttl_days"` // 0 表示用配置默认
+}
+
+// Create 管理员创建外部用户（自动建系统账号）。
+func (h *UserHandler) Create(c *gin.Context) {
+	if h.svc == nil {
+		fail(c, http.StatusNotImplemented, "用户服务未初始化")
+		return
+	}
+	var req UserCreateRequest
+	if err := c.ShouldBindJSON(&req); err != nil {
+		fail(c, http.StatusBadRequest, "请求参数不合法: "+err.Error())
+		return
+	}
+	u, err := h.svc.Create(c.Request.Context(), req.Username, req.Email, req.Supervisor, req.Purpose, req.TTLDays*86400)
+	if err != nil {
+		switch {
+		case strings.Contains(err.Error(), "用户名"):
+			fail(c, http.StatusBadRequest, err.Error())
+		case strings.Contains(err.Error(), "已存在"):
+			fail(c, http.StatusConflict, err.Error())
+		default:
+			fail(c, http.StatusInternalServerError, err.Error())
+		}
+		return
+	}
+	ok(c, gin.H{"id": u.ID, "username": u.Username, "status": u.Status})
+}
+
+// List 用户列表（M1 实现分页筛选）。
+func (h *UserHandler) List(c *gin.Context) {
+	fail(c, http.StatusNotImplemented, "用户列表将在 M1 实现")
+}