总管理员登录

密码使用 bcrypt 哈希，登录失败限流；会话仅存于 HttpOnly 安全 Cookie。