serve 多用户认证体系

单密码→多用户：auth.json 格式迁移，login 支持用户名密码，
新增用户管理 API 和前端页面，会话关联 username，
auth middleware 将当前用户注入 request.state。

Co-Authored-By: Claude <noreply@anthropic.com>

serve/backend/app/main.py

@@ -153,7 +153,9 @@ async def auth_middleware(request: Request, call_next):
 
     # 情况 3: 已设密码, 检查会话
     token = request.cookies.get(auth_api.COOKIE_NAME)
-    if token and auth_service.is_valid_session(token):
+    username = auth_service.get_session_user(token or "")
+    if username:
+        request.state.username = username
         return await call_next(request)
     # 未登录: 401(前端跳登录页)
     return JSONResponse(status_code=401, content={"detail": "未登录或会话已过期"})