feat: 完善登录鉴权和超级管理员重置

README.md

@@ -42,10 +42,18 @@ pnpm prisma:seed
 ## 内置账号
 
 - 超级管理员账号：`zhanxi`
-- 超级管理员初始密码：生产环境通过 `SUPER_ADMIN_INITIAL_PASSWORD` 注入；本地未配置时使用开发兜底口令。
+- 超级管理员初始密码：`zx123456@`，可通过服务器环境变量 `SUPER_ADMIN_INITIAL_PASSWORD` 覆盖。
 - 普通成员初始密码：`111111`
 
-超级管理员初始化配置集中在 `src/auth/auth.constants.ts` 和服务器环境变量。生产环境缺少 `SUPER_ADMIN_INITIAL_PASSWORD` 时 API 会拒绝初始化超级管理员，避免默认口令上线；如果超级管理员已修改密码，后续初始化不会覆盖密码。
+超级管理员初始化配置集中在 `src/auth/auth.constants.ts`、`prisma/seed.js` 和服务器环境变量。服务启动和种子数据只负责确保超级管理员账号存在并保持最高权限；如果超级管理员已修改密码，后续初始化不会覆盖密码。
+
+如果数据库中已经存在旧密码哈希，或者超级管理员忘记密码，平台内不提供找回入口，只能在服务器执行受控重置命令：
+
+```bash
+pnpm reset:super-admin-password
+```
+
+该命令面向已构建的服务器部署目录，会自动读取当前目录的 `.env.production`。默认把 `zhanxi` 的密码重置为 `zx123456@`。如需临时指定一次性重置密码，可在服务器环境中设置 `SUPER_ADMIN_RESET_PASSWORD` 后执行命令。脚本不会输出明文密码。源码开发调试时可先执行 `pnpm build`，或使用 `pnpm reset:super-admin-password:dev`。
 
 ## 关键接口
 
@@ -98,7 +106,8 @@ pnpm prisma:seed
 
 - `AUTH_TOKEN_SECRET`：登录 token 签名密钥。
 - `AUTH_TOKEN_TTL_SECONDS`：登录 token 有效期，默认 43200 秒。
-- `SUPER_ADMIN_INITIAL_PASSWORD`：生产环境初始化超级管理员时的初始密码。
+- `SUPER_ADMIN_INITIAL_PASSWORD`：覆盖超级管理员初始化密码；不设置时使用集中初始化配置中的 `zx123456@`。
+- `SUPER_ADMIN_RESET_PASSWORD`：仅服务器重置脚本使用的一次性超级管理员重置密码。
 - `SECRET_ENCRYPTION_KEY`：服务端密钥加密密钥，生产环境保存 Agent 密钥时必须配置。
 - `DATABASE_URL`：MySQL 连接地址。
 - `USE_DATABASE_READS`：是否启用 Prisma 数据读写。