配置与首次登录

环境变量	默认值或要求
`DSH_PUBLIC_ORIGIN`	必填 HTTP(S) origin，例如 `http://127.0.0.1:7902`，不含路径或尾部斜杠
`DSH_AUTH_STATE_DIR`	`DSH_HOME/auth`
`DSH_AUTH_SESSION_TTL_SECONDS`	86400
`DSH_AUTH_MAX_ATTEMPTS`	6
`DSH_AUTH_LOCK_SECONDS`	30

首次加载且不存在 admin 时创建该管理员，初始密码 123456，首次登录必须改密后才能使用受保护功能。已有 admin 不会被覆盖。密码长度为 8–256 个字符，强制改密后需要重新登录。

auth.sqlite 保存用户、授权和登录会话，密码使用带盐 scrypt，数据库只存登录令牌摘要。数据库 schema 为 2；旧 schema 1 自动增加首次改密标记，已有用户保持原状态。回滚到不支持 schema 2 的版本需要恢复升级前一致备份。

所有变更请求检查 Origin 与 CSRF。Cookie 使用 HttpOnly、SameSite=Strict，在 HTTPS 下启用 Secure。卸载插件不删除数据库。备份需要停止写入或使用 SQLite 一致备份。

dsh-auth