security: 会话可撤销与认证面加固

- users 加 token_version（schema v4）：改密/登出递增，该用户全部已发 access/refresh 立即作废；refresh 改轮换式换发新 cookie
- 邀请码改精确匹配 + 注册成功后消费（一码一用），修复子串匹配让任意后缀放行、可无限薅体验金
- 生产校验拦下 .env.example 占位密钥；OT_ENV 枚举校验（拼错不再静默跳过断言）；生产强制 COOKIE_SECURE；非 development 拒绝默认密码播种管理员
- WebAuthn 会话启用过期校验 + 4096 容量上限（未认证 login/begin 可无限撑爆内存），begin/complete 挂登录级限速
- /api/v1 挂 1MB 请求体上限；login 先限 IP 桶再解析 body；全局安全响应头 + CSP
- 连接池配置（PG 30/SQLite 8）；SQLite DSN 自动追加 WAL + busy_timeout（驱动只认 _pragma，旧注释的 _journal_mode 写法不生效）

server/internal/app/app.go

@@ -3,6 +3,7 @@ package app
 
 import (
 	"context"
+	"fmt"
 	"log"
 	"time"
 
@@ -79,7 +80,17 @@ func (a *App) Seed() error {
 	var count int64
 	a.DB.Model(&store.User{}).Where("role = ?", store.RoleAdmin).Count(&count)
 	if count == 0 {
-		hash, err := a.Hasher.HashPassword(envOr("OT_ADMIN_PASSWORD", "admin123"))
+		password := a.Cfg.AdminPassword
+		if password == "" {
+			// config.validate 已拒绝缺 OT_ADMIN_PASSWORD 的生产配置；这里再拦一层，
+			// 防止绕过 Load 的调用方（测试/工具）带着公开默认密码进非开发环境。
+			if a.Cfg.Env != "development" {
+				return fmt.Errorf("非 development 环境必须显式设置 OT_ADMIN_PASSWORD，拒绝用默认密码创建管理员")
+			}
+			password = "admin123"
+			log.Printf("seed: using default admin password admin123 — DO NOT expose this instance to the public internet")
+		}
+		hash, err := a.Hasher.HashPassword(password)
 		if err != nil {
 			return err
 		}