系统设置迁入后台：站点地址 / OAuth 凭据 / R2 存储 / 管理员账号，保存即生效无需重启

- 生效规则统一为「后台填了用后台的，没填回落环境变量」，老部署不改 env 照常跑
- config.Resolver：短缓存解析有效配置，存储后端按配置签名热重建；后台保存主动失效
- 秘密项（client secret / bot token / R2 密钥 / 管理员密码）接口永不回显明文，
  只报「是否已配置、来自哪里」；留空保存 = 保持现值
- 管理员密码 bcrypt 入库，DB 哈希优先、显式设置的 env 密码作解锁后路；
  后台改过密码后 admin/admin 开发模式立即失效
- 设置页新增「登录与存储」标签，基础信息加站点地址；秘密项带来源提示
- 监听地址 / 数据库 / 目录 / ONE_SECRET / Passkey 仍留环境变量（启动期依赖）

backend/internal/api/account_test.go

@@ -31,9 +31,9 @@ func (f fakeAdmin) TTL() int { return 3600 }
 func newAccountAPI(t *testing.T) (*API, http.Handler) {
 	t.Helper()
 	a, h := newTestAPI(t)
-	a.Cfg = &config.Config{SiteURL: "http://localhost:8080", AdminUser: "admin"}
+	a.Cfg = &config.Config{SiteURL: "http://localhost:8080", AdminUser: "admin",
+		GitHubClientID: "id", GitHubClientSecret: "sec"}
 	a.AdminSessions = fakeAdmin{valid: map[string]bool{"good-session": true}}
-	a.GH = auth.GitHub{ClientID: "id", ClientSecret: "sec"}
 	return a, h
 }
 
@@ -53,7 +53,7 @@ func TestBindWithAdminSessionLinksAndRedirects(t *testing.T) {
 	if err != nil {
 		t.Fatal(err)
 	}
-	back := a.Cfg.SiteURL + "/admin/account"
+	back := a.siteURL() + "/admin/account"
 	req := httptest.NewRequest(http.MethodGet, "/api/auth/github/bind", nil)
 	req.AddCookie(&http.Cookie{Name: "one_session", Value: "good-session"})
 	req.AddCookie(&http.Cookie{Name: oauthBackCook, Value: back})