feat(M0): 工程骨架 — Go 后端 + Vue3 前端脚手架

- Go 工程：cmd/usernode CLI（serve/migrate/admin create/reset-password/user otp）
  + internal/{config,model,service,system,auth,cron,api,router,server,pkg,webui}
- 配置：TOML + 环境变量覆盖（USERNODE_<SEC>_<FIELD>），config.example.toml
- 数据：GORM 双驱动（SQLite/MySQL）8 表模型，migrate 子命令可跑通
- 系统层：system.Manager 接口（useradd/userdel/passwd 白名单，dev dry-run）
- HTTP：Gin 路由骨架（/api/v1 + 501 占位），healthz，slog 结构化日志，优雅启停
- 前端：Vite + Vue3 + TS + Element Plus 最小可运行（web/），go:embed 打通
- 构建：deploy/Containerfile 多阶段单二进制镜像，web/Containerfile.dev 前端 dev
  镜像，Makefile（build/test/dev/web-build/image）；go.mod 锁定 go 1.22
- 验证：go build/vet/test 通过；podman 镜像构建运行 healthz+embed 通过

internal/service/audit.go

@@ -0,0 +1,51 @@
+package service
+
+import (
+	"context"
+	"encoding/json"
+	"errors"
+	"io"
+	"time"
+
+	"gorm.io/gorm"
+
+	"ws_usernode/internal/model"
+)
+
+// AuditService 审计服务：append-only 记录（业务代码仅允许 INSERT），
+// 保留策略与 CSV 导出归档在 M4 完成，这里给出接口与最小实现。
+type AuditService struct {
+	db *gorm.DB
+}
+
+// NewAuditService 创建审计服务。
+func NewAuditService(db *gorm.DB) *AuditService {
+	return &AuditService{db: db}
+}
+
+// Record 记录一条管理操作审计。detail 为任意结构体，入库前 JSON 序列化。
+func (s *AuditService) Record(ctx context.Context, actorID uint, actorName, action, resourceType, resourceID string, detail any, ip, result string) error {
+	b, err := json.Marshal(detail)
+	if err != nil {
+		return err
+	}
+	entry := model.AuditLog{
+		ActorID:      actorID,
+		ActorName:    actorName,
+		Action:       action,
+		ResourceType: resourceType,
+		ResourceID:   resourceID,
+		Detail:       string(b),
+		IP:           ip,
+		Result:       result,
+	}
+	return s.db.WithContext(ctx).Create(&entry).Error
+}
+
+// ExportCSV 导出审计为 CSV。M0 骨架：返回占位错误，M4 实现手动导出 + 每日归档。
+func (s *AuditService) ExportCSV(ctx context.Context, w io.Writer, since, until *time.Time) error {
+	_ = w
+	_ = since
+	_ = until
+	return errors.New("service: 审计 CSV 导出将在 M4 实现")
+}