账户中心：站主资料可编辑 + 身份绑定 + passkey 登录

后台新增 /admin/account 一页，四块：公开资料、密码、第三方账号、Passkey。

-  schema：users 加 role（默认 reader），新表 user_identities、passkeys。
  user_identities 上双 UNIQUE —— (provider, extern_uid) 防一个外部账号顶两个身份，
  (user_id, provider) 防一站主绑两个同平台号，绑错也劫持不了。
  extern_uid 存平台稳定 ID，不存用户名（用户名可改）。
- 头像存 files 里的 key 而非 URL，换存储/CDN 不失效；单 key SetSetting 写入，
  避开 UpdateSettings 的整表替换会把它抹掉。站主名/简介从设置页挪到账户页，
  一个字段只留一个编辑入口。
- OAuth 绑定要求先有后台会话（绑定动作本身是提权路径）；已绑的站主身份登录后
  直接发 one_session，读者身份仍发 one_reader。
- passkey 走 go-webauthn v0.15.0（最后一条吃 go 1.24 的版本线），可发现凭据登录。
  必须显式设 ONE_WEBAUTHN_ORIGINS 才启用，不配就安静关掉。
  签名计数只记克隆警告、不硬拦 —— 云同步 passkey 的计数本就不单调。
- 密码故意留在 ONE_ADMIN_PASSWORD，不做哈希入库：这是「解绑一切、删光 passkey
  也还能进门」的保底，比 env 明文更值得守。memos 那个 SSO 建号随机密码无重置
  入口的坑，从设计上绕开。

已知限制：会话仍是有状态无关的 HMAC cookie，删 passkey / 解绑不会让已发出的
7 天后台会话失效 —— 要修得加一张吊销表。

backend/internal/admin/api.go

@@ -22,6 +22,7 @@ import (
 	"sync"
 	"time"
 
+	"oneblog/internal/auth"
 	"oneblog/internal/config"
 	"oneblog/internal/httpx"
 	"oneblog/internal/hub"
@@ -45,6 +46,8 @@ type API struct {
 	// Thumbs 是缩略图磁盘缓存（main.go 装配）。删上传文件时顺手清掉它的
 	// 缩略图产物，否则已删图片会一直占着缓存。
 	Thumbs *thumbs.Store
+	// Passkeys 是 WebAuthn 服务（main.go 装配；未配置时为 nil，相关端点直接 503）
+	Passkeys *auth.Passkeys
 
 	loginOnce sync.Once
 	logins    *loginLimiter
@@ -85,6 +88,22 @@ func (a *API) Routes() http.Handler {
 	mux.HandleFunc("/api/admin/files/import", a.guard(a.importFiles))
 	mux.HandleFunc("/api/admin/files/", a.guard(a.fileByID))
 	mux.HandleFunc("/api/admin/settings", a.guard(a.settings))
+	// 账户页：资料 + 身份绑定 + passkey
+	mux.HandleFunc("/api/admin/account", a.guard(func(w http.ResponseWriter, r *http.Request) {
+		switch r.Method {
+		case http.MethodGet:
+			a.account(w, r)
+		case http.MethodPatch, http.MethodPut:
+			a.patchAccount(w, r)
+		default:
+			httpx.Error(w, http.StatusMethodNotAllowed, "GET/PATCH required")
+		}
+	}))
+	mux.HandleFunc("/api/admin/account/identities/", a.guard(a.unbindIdentity))
+	mux.HandleFunc("/api/admin/account/passkeys", a.guard(a.listPasskeys))
+	mux.HandleFunc("/api/admin/account/passkeys/begin", a.guard(a.beginPasskey))
+	mux.HandleFunc("/api/admin/account/passkeys/finish", a.guard(a.finishPasskey))
+	mux.HandleFunc("/api/admin/account/passkeys/", a.guard(a.deletePasskey))
 	mux.HandleFunc("/api/admin/comments", a.guard(a.adminComments))
 	mux.HandleFunc("/api/admin/comments/", a.guard(a.adminCommentByID))
 	mux.HandleFunc("/api/admin/readers", a.guard(a.adminReaders))