feat: 核心模块增强 — 加密 + 运行时配置 + 日志缓冲

- crypto.py: API Key 加密/解密工具
- runtime_config.py: 运行时动态配置管理
- log_buffer.py: 内存日志缓冲区
- config.py: 新增加密配置项
- http_client.py: 增强重试和错误处理

frontend/src/admin/pages/Config.tsx

@@ -2,24 +2,27 @@
  * Admin 后台 - 系统配置管理页面(报刊风)
  *
  * 功能:
- * - 管理员密钥(X-API-Key):存本机浏览器,自动附带到采集/回测/结算等受保护接口
+ * - 登录与鉴权说明(ADMIN_PASSWORD,HttpOnly 会话 Cookie)
  * - 显示当前 .env 配置(脱敏;后端暂无配置端点,为静态说明)
  * - 配置修改指南
  */
 
 import { useEffect, useState, useCallback } from 'react'
 import { fetchSystemConfig } from '../dal'
-import { getAdminKey, setAdminKey } from '../api'
+import { changePassword, fetchAuthState, UNAUTHORIZED_EVENT } from '../api'
 import { Card, CardBody, CardHeader, Badge, SectionHeader, Alert, Spinner, SkeletonBlock } from '../components'
 
 export default function ConfigPage() {
   const [config, setConfig] = useState<any[]>([])
   const [loading, setLoading] = useState(true)
+  const [passwordOrigin, setPasswordOrigin] = useState<'db' | 'env' | 'none' | null>(null)
 
-  // 管理员密钥
-  const [adminKey, setAdminKeyInput] = useState('')
-  const [keySaved, setKeySaved] = useState(false)
-  const [keyExists, setKeyExists] = useState(false)
+  // 修改密码表单
+  const [currentPwd, setCurrentPwd] = useState('')
+  const [newPwd, setNewPwd] = useState('')
+  const [confirmPwd, setConfirmPwd] = useState('')
+  const [pwdBusy, setPwdBusy] = useState(false)
+  const [pwdNotice, setPwdNotice] = useState<{ ok: boolean; text: string } | null>(null)
 
   const loadConfig = useCallback(async () => {
     setLoading(true)
@@ -35,75 +38,115 @@ export default function ConfigPage() {
 
   useEffect(() => {
     loadConfig()
-    const stored = getAdminKey()
-    setKeyExists(stored !== '')
+    fetchAuthState()
+      .then(s => setPasswordOrigin(s.password_origin ?? null))
+      .catch(() => setPasswordOrigin(null))
   }, [loadConfig])
 
-  function handleSaveKey(e: React.FormEvent) {
+  async function handleChangePassword(e: React.FormEvent) {
     e.preventDefault()
-    setAdminKey(adminKey.trim())
-    setKeyExists(adminKey.trim() !== '')
-    setKeySaved(true)
-    setAdminKeyInput('')
-    setTimeout(() => setKeySaved(false), 3000)
-  }
-
-  function handleClearKey() {
-    setAdminKey('')
-    setAdminKeyInput('')
-    setKeyExists(false)
+    setPwdNotice(null)
+    if (newPwd !== confirmPwd) {
+      setPwdNotice({ ok: false, text: '两次输入的新密码不一致' })
+      return
+    }
+    setPwdBusy(true)
+    try {
+      const res = await changePassword(currentPwd, newPwd)
+      setPwdNotice({ ok: true, text: res.message })
+      // 密码即会话密钥,修改后所有会话失效:主动切回登录页
+      setTimeout(() => window.dispatchEvent(new CustomEvent(UNAUTHORIZED_EVENT)), 1500)
+    } catch (err) {
+      setPwdNotice({ ok: false, text: err instanceof Error ? err.message.split('\n')[0] : '修改失败' })
+    } finally {
+      setPwdBusy(false)
+    }
   }
 
   return (
     <div className="space-y-6">
       <SectionHeader
         title="系统配置"
-        description="管理员密钥管理与系统参数查看。敏感配置一律通过服务器 .env 文件管理。"
+        description="登录鉴权说明与系统参数查看。敏感配置一律通过服务器 .env 文件管理。"
       />
 
-      {/* 管理员密钥 */}
+      {/* 登录与鉴权 */}
       <Card>
         <CardHeader
-          title="管理员密钥 (X-API-Key)"
-          description="后端设置 ADMIN_API_KEY 后,采集 / 回测 / 结算等接口需要此密钥"
+          title="登录与鉴权"
+          description="本后台通过密码登录保护,会话以 HttpOnly Cookie 保存,有效期默认 7 天"
         />
         <CardBody>
-          <form onSubmit={handleSaveKey} className="space-y-4">
-            <div className="flex flex-col gap-3 sm:flex-row">
-              <input
-                type="password"
-                value={adminKey}
-                onChange={e => setAdminKeyInput(e.target.value)}
-                placeholder={keyExists ? '••••••••(已保存,输入新值可更换)' : '粘贴 ADMIN_API_KEY'}
-                autoComplete="off"
-                className="field flex-1"
-              />
-              <div className="flex gap-2">
-                <button type="submit" disabled={!adminKey.trim()} className="btn btn-solid">
-                  保存
-                </button>
-                <button
-                  type="button"
-                  onClick={handleClearKey}
-                  disabled={!keyExists}
-                  className="btn btn-sm"
-                >
-                  清除
-                </button>
+          <Alert kind="ok" title="已通过密码登录" />
+          <p className="mt-3 text-2xs leading-relaxed text-ink-500">
+            密码初始来自服务器 <code className="font-mono">.env</code> 的{' '}
+            <code className="font-mono">ADMIN_PASSWORD</code>(启动时自动转为哈希),在下方修改后以{' '}
+            <code className="font-mono">scrypt</code> 哈希安全存入数据库并立即生效,明文不再留存。
+            密码即会话签名密钥,修改后所有已登录会话失效,需用新密码重新登录。
+            脚本直连接口可改用 <code className="font-mono">ADMIN_API_KEY</code>(请求头 X-API-Key)。
+          </p>
+          {passwordOrigin && (
+            <p className="mt-2 flex items-center gap-2 text-2xs text-ink-500">
+              当前密码来源:
+              {passwordOrigin === 'db' ? (
+                <Badge status="success">数据库(scrypt 哈希)</Badge>
+              ) : passwordOrigin === 'env' ? (
+                <Badge status="info">.env 初始值</Badge>
+              ) : (
+                <Badge status="error">未配置</Badge>
+              )}
+            </p>
+          )}
+
+          {/* 修改密码表单 */}
+          <form onSubmit={handleChangePassword} className="mt-5 space-y-3 border-t border-ink-200 pt-4">
+            <div className="grid gap-3 sm:grid-cols-3">
+              <div>
+                <label className="mb-1 block text-2xs text-ink-500">当前密码</label>
+                <input
+                  type="password"
+                  value={currentPwd}
+                  onChange={e => setCurrentPwd(e.target.value)}
+                  autoComplete="current-password"
+                  className="field w-full"
+                />
+              </div>
+              <div>
+                <label className="mb-1 block text-2xs text-ink-500">新密码(至少 8 位)</label>
+                <input
+                  type="password"
+                  value={newPwd}
+                  onChange={e => setNewPwd(e.target.value)}
+                  autoComplete="new-password"
+                  className="field w-full"
+                />
+              </div>
+              <div>
+                <label className="mb-1 block text-2xs text-ink-500">确认新密码</label>
+                <input
+                  type="password"
+                  value={confirmPwd}
+                  onChange={e => setConfirmPwd(e.target.value)}
+                  autoComplete="new-password"
+                  className="field w-full"
+                />
               </div>
             </div>
 
-            {keySaved && <Alert kind="ok" title="密钥已保存,后续请求将自动附带" />}
-            {keyExists && !keySaved && (
-              <p className="text-2xs text-ink-500">
-                当前状态:<Badge status="success">已保存密钥</Badge>
-                <span className="ml-2">密钥仅保存在本机浏览器,不会上传到任何第三方。</span>
-              </p>
+            {pwdNotice && (
+              <Alert kind={pwdNotice.ok ? 'ok' : 'error'} title={pwdNotice.text} />
             )}
-            <p className="border-l-2 border-ink-300 pl-3 text-2xs leading-relaxed text-ink-500">
-              密钥与服务器 .env 中 ADMIN_API_KEY 一致即可。留空时后端默认不鉴权(本地开发模式)。
-              遇到 401 错误通常就是缺这个密钥。
-            </p>
+
+            <div className="flex items-center justify-between gap-2">
+              <p className="text-2xs text-ink-400">修改成功后会自动退出登录,请用新密码重新登录。</p>
+              <button
+                type="submit"
+                disabled={pwdBusy || !currentPwd || !newPwd || !confirmPwd}
+                className="btn btn-solid btn-sm flex-shrink-0"
+              >
+                {pwdBusy ? (<><Spinner /> 修改中</>) : '修改密码'}
+              </button>
+            </div>
           </form>
         </CardBody>
       </Card>
@@ -203,7 +246,8 @@ docker compose logs -f api`}
                 ['LLM_API_KEY', 'LLM 服务商的 API 密钥,用于调用大模型'],
                 ['LLM_MODEL', '使用的模型名称,如 gpt-4o、claude-3-5-sonnet'],
                 ['LLM_BASE_URL', 'API 基础地址,支持兼容 OpenAI 协议的服务商'],
-                ['ADMIN_API_KEY', '管理后台写接口的鉴权密钥,配置后需在本页保存到浏览器'],
+                ['ADMIN_PASSWORD', '管理后台登录密码,修改后重启 api 容器生效'],
+                ['ADMIN_API_KEY', '脚本直连接口的鉴权密钥(请求头 X-API-Key)'],
                 ['BZZOIRO_KEY', 'Bzzoiro 数据源 API 密钥'],
                 ['DATABASE_URL', 'PostgreSQL 数据库连接字符串'],
               ].map(([key, desc]) => (