M0-M4: 推倒重来基线(基建+用户/密钥/核心代理+前端+管理后台+三协议互转)

- 后端 Go+Gin+GORM: 配置(OT_ env)/SQLite/Postgres 双驱动、用户体系(argon2id+JWT access/refresh)、
  API Key(sk- 48位, 仅存 SHA-256 哈希)
- 代理网关: /v1/chat/completions、/v1/responses、/v1/messages、/v1/models;错误按客户端协议返回
- 三协议互转(convert 包): Chat↔Messages↔Responses 请求/响应 + 流式 SSE 逐事件转换(直通优先)
- 用量计费: 异步批量记账、余额扣减、balance_logs、usage_daily 日聚合
- 管理 API: 用户/渠道 CRUD+测试+模型导入/模型定价+绑定/统计/系统配置
- 前端 Vue3+TS+Tailwind(taste-skill 设计 tokens): Landing/登录注册/控制台/管理后台,
  自建组件+Phosphor 图标+自建 SVG 趋势图, 已过 web-design-guidelines 复查
- mock 上游: OpenAI+Anthropic 双协议模拟(含流式)

Co-Authored-By: Claude <noreply@anthropic.com>

server/internal/pkg/crypto/crypto.go

@@ -14,6 +14,7 @@ import (
 	"golang.org/x/crypto/argon2"
 )
 
+// PasswordHasher argon2id 参数（来自配置）。
 type PasswordHasher struct {
 	Time    uint32
 	Memory  uint32
@@ -26,7 +27,7 @@ func NewPasswordHasher(time, memory uint32, threads uint8, keyLen uint32, saltLe
 	return &PasswordHasher{Time: time, Memory: memory, Threads: threads, KeyLen: keyLen, SaltLen: saltLen}
 }
 
-// HashPassword argon2id 编码为 $argon2id$v=19$m=...,t=...,p=...$salt$hash
+// HashPassword 编码为 $argon2id$v=19$m=...,t=...,p=...$salt$hash
 func (h *PasswordHasher) HashPassword(password string) (string, error) {
 	salt := make([]byte, h.SaltLen)
 	if _, err := rand.Read(salt); err != nil {
@@ -38,14 +39,13 @@ func (h *PasswordHasher) HashPassword(password string) (string, error) {
 		h.Memory, h.Time, h.Threads, enc.EncodeToString(salt), enc.EncodeToString(key)), nil
 }
 
-// VerifyPassword 校验密码，返回是否匹配（常数时间比较）。
+// VerifyPassword 校验密码，常数时间比较。
 func (h *PasswordHasher) VerifyPassword(encoded, password string) (bool, error) {
 	parts := strings.Split(encoded, "$")
 	if len(parts) != 6 || parts[1] != "argon2id" {
 		return false, errors.New("invalid hash format")
 	}
-	var memory uint32
-	var time uint32
+	var memory, time uint32
 	var threads uint8
 	if _, err := fmt.Sscanf(parts[3], "m=%d,t=%d,p=%d", &memory, &time, &threads); err != nil {
 		return false, err
@@ -66,6 +66,7 @@ func (h *PasswordHasher) VerifyPassword(encoded, password string) (bool, error)
 // ---------------------------------------------------------------------------
 // AES-GCM 渠道密钥加密
 
+// Encryptor 用主密钥加解密渠道上游 key。
 type Encryptor struct {
 	key []byte
 }
@@ -76,8 +77,7 @@ func NewEncryptor(master string) *Encryptor {
 	switch len(key) {
 	case 16, 24, 32:
 	default:
-		sum := sha256Sum(master)
-		key = sum
+		key = sha256Sum(master)
 	}
 	return &Encryptor{key: key}
 }
@@ -100,6 +100,7 @@ func (e *Encryptor) Encrypt(plain string) (string, error) {
 	return base64.StdEncoding.EncodeToString(append(nonce, ct...)), nil
 }
 
+// Decrypt 解析 Encrypt 的输出。
 func (e *Encryptor) Decrypt(enc string) (string, error) {
 	raw, err := base64.StdEncoding.DecodeString(enc)
 	if err != nil {