## Why

当前资产后台已经预留 `as_system_user` 用户表映射，但没有登录校验、账号管理或页面权限控制；任何访问者都能直接进入现有路由和接口。现在需要让开发者与超级管理员能够安全创建和维护业务账号，并让财务、人事、运营按被授予的页面读写权限使用系统。

## What Changes

- 新增账号密码登录、登录态校验与登出能力，未登录用户只能访问登录页和登录接口。
- 接入现有 `as_system_user` 作为唯一账号表：保存用户名、不可逆密码哈希、角色、启停状态和逐页权限配置；不保存明文密码。
- 定义五种固定角色：开发者、超级管理员、财务、人事、运营；唯一开发者固定账号为 `Jeddy`，且不出现在任何前端列表或下拉选项中。
- 新增账号与权限管理能力：开发者可创建所有角色并管理全部密码；超级管理员只能创建财务、人事、运营与其他超级管理员，且不能创建或修改任何密码；其他角色不能创建账号。
- 新增独立的“设置 / 账号与权限”菜单项及路由页，以图标加文字呈现；页面包含账号列表、创建/编辑账号、启停和逐页面板的“只读/编辑/无权限”勾选。
- 将菜单展示、前端路由守卫与后端接口授权统一建立在同一份服务端权限结果上，避免只隐藏前端入口而仍可调用接口。
- 所有密码创建、重置和修改均只由开发者执行；`Jeddy` 的初始密码哈希由受控数据库操作人工写入。登录成功后仅对 `Jeddy` 弹出“🎉 欢迎系统开发者-BOSS：Jeddy 上线”，其他账号不展示欢迎提示。

## Capabilities

### New Capabilities

- `system-user-authentication`: 以 `as_system_user` 为账号来源的安全登录、会话校验、登出和开发者专属登录欢迎提示能力。
- `system-user-administration`: 按创建者角色限制的账号查询、创建、编辑、启停与仅开发者可执行的密码重置能力，并隐藏开发者账号。
- `page-permission-management`: 服务端维护的逐页“无权限/只读/编辑”配置，以及设置入口、菜单过滤、路由和接口授权能力。

### Modified Capabilities

- 无现有 OpenSpec 主规格需要修改；现有资产接口的实现将增加统一授权校验，但其业务响应字段和资产数据规则不改变。

## Impact

- 后端：新增认证/账号/权限模块、Spring Security 依赖与安全配置、`as_system_user` 查询和写入逻辑、现有 `/api/**` 的授权拦截，以及相应单元和接口测试。
- 数据库：复用 `as_system_user` 的账号字段；需先核对线上表的实际列和索引，必要时通过可回滚迁移补充权限 JSON、密码更新时间和版本字段。不会存储明文密码。
- 前端：新增登录页、认证状态、请求鉴权头、路由守卫、设置菜单和独立账号与权限管理页；`Jeddy` 登录后仅在当前登录成功流程展示专属欢迎提示；现有资产页根据服务端返回的页面权限显示或禁用编辑操作。
- 运维：新增仅部署环境持有的令牌签名密钥；`Jeddy` 的初始密码哈希由受控数据库操作维护，密钥、明文密码和哈希均不提交到仓库。
