多用户与角色：owner / admin / reader 三级，用户管理页 + 密码上库

- users 表加 password_hash 列；后台账号（owner+admin）密码 bcrypt 存行内，
  首次登录把 env / settings 引导凭据自迁移成行哈希
- 会话 token 从用户名改为携带用户 ID，角色与停用状态每请求查库，
  改角色 / 停用账号即时生效（存量会话立即 401）
- 登录：先查 users 表，再走 settings 哈希 / env 引导链；
  admin/admin 开发模式在任何账号设过密码后失效
- 权限：系统设置、用户管理仅 owner；内容管理 admin+owner；
  admin 后台新增 用户 页（创建 / 重置密码 / 停用 / 删除），
  设置页「登录与存储」tab 对管理员隐藏
- 账户页加修改密码表单（旧密码校验，OAuth/Passkey 首设免旧密码）；
  评论区管理员身份跟随各自账号，不再统一挂站主名下
- 修复：providers 为 nil 时账户页白屏（Go nil slice 序列化成 null）

frontend/src/admin/AdminLayout.vue

@@ -63,6 +63,7 @@ const crumb = computed(() => {
   if (/^\/admin\/\d+/.test(p)) return '编辑文章'
   if (p.endsWith('/files')) return '文件'
   if (p.endsWith('/comments')) return '评论'
+  if (p.endsWith('/users')) return '用户'
   if (p.endsWith('/tags')) return '标签'
   if (p.endsWith('/settings')) return '设置'
   if (p === '/admin' || p === '/admin/') return '总览'
@@ -150,6 +151,11 @@ watch(() => route.path, () => {
           <span class="ic">◉</span>
           <span>账户</span>
         </RouterLink>
+        <!-- 用户管理是站主专属：内容管理员（admin）看不到这个入口 -->
+        <RouterLink v-if="session.isOwner" to="/admin/users" class="item">
+          <span class="ic">◍</span>
+          <span>用户</span>
+        </RouterLink>
         <div class="group">前台</div>
         <a href="/" target="_blank" class="item">
           <span class="ic">↗</span>