feat: 迁移商务登录品牌和三步找回密码

docs/sw6-to-kra/implementation.md

@@ -49,6 +49,8 @@
 - 已落地商务列表、查询资料、新增子商务、部分编辑和审核状态，以及 Kra 风格 `BusinessList` 页面。层级及角色由服务端按原角色 ID 映射分配；账号、角色、偏好在同一事务创建。列表按平台与商务组合键统计直属一级渠道和已通过绑定。
 - 商务画像、旗下渠道明细、导出等功能仍在后续范围内；当前不将整个商务菜单标为完成。
 - 已接入绑定列表、指定商务已通过绑定详情、提交绑定及解绑四个接口，页面增加游戏 SDK 绑定页签与详情抽屉。绑定流程保持三级限制、平台验密、OA 待审核及驳回重提规则；新增键锁表 `sys_business_binding_locks`，串行处理同一平台商务的并发绑定。
+- 已恢复旧登录页的图片、文案、布局及记住账号功能，系统名称统一为“遨游龙翔游戏平台”。找回密码四个匿名接口位于 `/sw/auth/forgot-password/`，保留账号/手机号检查、60 秒发码限制、两分钟验证码、十分钟凭证、6–15 位密码及失败五次吊销等规则。
+- 找回密码采用同库事务保存验证码摘要和一次性凭证，并原子执行改密/消费凭证；新增 `sys_business_password_codes`、`sys_business_password_resets`。更新密码版本使旧 JWT 失效。短信复用 Kra 集成配置，`SW_PASSWORD_RESET_SMS_PROVIDER` 默认 `tencent`，也支持 `aliyun`；模板和通道凭据在对应集成配置中维护。
 - 平台数据源通过 Kra 的 `data.database_list` 复用连接，别名为 `lx` / `hw` / `yq`。旧密码算法支持三种格式，兼容盐通过环境变量 `SW_SDK_AUTH_CODE`、`SW_SDK_MIGRATE_AUTH_CODE` 提供，取值应与旧 `XiguPasswordUtils` 对应常量一致；`SW_SDK_TABLE_PREFIX` 缺省为 `sys_`。真实连接凭据和盐不写进新仓库。完整平台库验密仍需部署配置后联调。
 - 已生成 `source-inventory.json`：现有 SQL 的 63 个接口契约、279 个变更源文件及额外找回密码控制器。此清单是范围索引，不代表已完成实现。
 - 已执行 `make generate`、相关 Go 测试、变更前端 ESLint 和生产构建。构建存在原 `arcdash` 依赖的 BigInt 浏览器目标警告。
@@ -56,4 +58,5 @@
 - 用户反馈实际商务列表失败后，定位为 sw7 缺少 `tab_promote`。已解耦基础列表与渠道统计：有绑定且渠道表缺失时返回 `promoteCount: null`，界面显示“未接入”，无绑定账号仍为真实零。新增通过真实 TCP 请求的 HTTP 回归测试，覆盖系统数据库及完整渠道表两种场景。
 - 已通过正常验证码登录取得测试会话，并在修复后的独立 18000 实例连接同一 sw7 执行 HTTP 请求。列表总数 45，分页、账号筛选、资料和偏好查询全部成功。详见 `http-verification-2026-11-03.json`。8000 为用户 GoLand 旧二进制，需重新运行才加载源码修复。
 - 绑定批次通过 13 项真实 HTTP 检查：商务 45 条、绑定 58 条、平台与审核筛选、详情、偏好查询和写请求校验，结果见 `http-business-bindings-2026-11-03.json`；`scripts/sw_http_smoke.py` 可复用且不记录令牌。真实库不制造测试商务或发起实际平台绑定。新增、修改、偏好关闭、提交绑定及解绑的正向流程已用独立 SQLite 数据库通过实际 TCP HTTP 测试；平台验密外部边界使用测试替身，密码算法另用固定向量验证。
+- 登录/找回密码批次 `go test ./...` 全量通过，前端 ESLint 和生产构建通过。Chrome 已检查桌面/移动登录页及三步找回流程（短信接口受控替身）；完整找回密码链路已通过匿名 TCP HTTP + SQLite 测试，覆盖错误验证码后重试、原子消费、改密版本更新和凭证重放拒绝。实际运行实例四个匿名接口校验与既有 13 项商务 HTTP 回归全部通过，未发送真实短信或修改真实用户密码。
 - 当前没有执行本轮真实数据库迁移验证。

docs/sw6-to-kra/login-page-verification-2026-11-03.json

@@ -0,0 +1,12 @@
+{
+  "method": "真实 Chrome 渲染；找回密码接口使用受控响应，不发送真实短信",
+  "title": "遨游龙翔游戏平台",
+  "actions": [
+    "check",
+    "send-code",
+    "verify-code",
+    "reset"
+  ],
+  "pageErrors": [],
+  "passed": true
+}

docs/sw6-to-kra/page-parity.md

@@ -35,3 +35,7 @@
 ## 其他页面
 
 渠道列表、渠道激活、渠道统计、充值明细、注册明细、游戏数据、区服分析、排行榜、预警列表和预警规则，均需在各自实现前逐项提取旧模板的筛选项、列、按钮、抽屉、权限和跳转。数据库菜单清单或后端接口清单只能用于交叉核对，不能替代页面核对。
+
+## 登录页
+
+已从旧 `login.vue` 复用登录模板和样式，复制原品牌图片，适配 Kra 登录接口；保持记住账号而不存密码、验证码、三步找回密码和原文案。系统标题、侧栏标识及页脚已同步旧商务名称。`login-page-verification-2026-11-03.json` 记录 Chrome 的流程验证，短信接口为测试替身，不向真实手机发码。

docs/sw6-to-kra/password-reset-http-2026-11-03.json

@@ -0,0 +1,38 @@
+{
+  "scope": "运行实例匿名接口校验；不发送短信、不修改真实用户密码",
+  "base_url": "http://127.0.0.1:18000",
+  "checks": [
+    {
+      "action": "check",
+      "http": 200,
+      "code": 7,
+      "msg": "账号不存在或未注册",
+      "elapsed_ms": 3097,
+      "passed": true
+    },
+    {
+      "action": "send-code",
+      "http": 200,
+      "code": 7,
+      "msg": "商务账号参数不正确",
+      "elapsed_ms": 314,
+      "passed": true
+    },
+    {
+      "action": "verify-code",
+      "http": 200,
+      "code": 7,
+      "msg": "商务账号参数不正确",
+      "elapsed_ms": 85,
+      "passed": true
+    },
+    {
+      "action": "reset",
+      "http": 200,
+      "code": 7,
+      "msg": "商务账号参数不正确",
+      "elapsed_ms": 224,
+      "passed": true
+    }
+  ]
+}