✨ feat(web-auth): 支持六位密码与环境变量托管

- 密码策略统一为至少六个可见字符，覆盖初始化与设置中心改密
- 支持 GONAVI_WEB_PASSWORD 启动同步并保留既有 2FA 与会话配置
- 设置中心识别环境托管状态并禁用临时改密
- Compose、env 示例及双语文档补充密码配置和容器重建说明
- 增加认证持久化、环境覆盖、前端状态与 Docker 登录回归校验

docker.web-server.env.example

@@ -1,7 +1,7 @@
 # 宿主机 GoNavi 活动数据目录。
 # 建议至少包含：connections.json、daily_secrets.json；
 # 如需可选驱动代理，一并挂载 drivers/。
-# Web 认证状态会写入 web_auth.json（首次访问 /setup 初始化）。
+# Web 认证状态会写入 web_auth.json；未设置环境密码时首次访问 /setup 初始化。
 GONAVI_HOST_DATA_ROOT=/absolute/path/to/gonavi-data
 
 # 预构建镜像地址。稳定版通常使用 latest，跟随 dev 分支可改成 ghcr.io/syngnat/gonavi-web-server:dev-latest
@@ -12,3 +12,8 @@ GONAVI_WEB_PULL_POLICY=missing
 
 # 宿主机暴露端口（映射到容器 34116）
 GONAVI_WEB_HTTP_PORT=34116
+
+# Web 管理员密码（至少 6 位）。留空时首次访问 /setup 初始化；公网部署请使用更强密码。
+# 设置或修改后请执行 docker compose up -d --force-recreate；请限制本文件的读取权限。
+# 新部署如需启用 2FA，请先留空并通过 /setup 初始化，再设置为同一密码并重新创建容器。
+GONAVI_WEB_PASSWORD=