后台登陆验证码

docs/api.md

@@ -46,6 +46,7 @@ API 规划以 [项目计划](project-plan.md) 第 10 章为准。
 - `GET /api/wallet/ledger`
 - `GET /api/notifications`
 - `POST /api/notifications/{id}/read`
+- `GET /api/admin/auth/captcha`
 - `POST /api/admin/auth/login`
 - `POST /api/admin/auth/logout`
 - `GET /api/admin/me`

docs/business-rules.md

@@ -99,6 +99,8 @@
 
 - 后台登录接口为 `/api/admin/auth/login`，前端页面为 `/admin/login`。
 - 后台页面使用独立管理布局，不再混用用户端侧边栏。
+- 后台登录前必须先请求 `/api/admin/auth/captcha` 获取图形验证码。
+- 图形验证码为后端生成的 SVG，验证码答案保存在 Redis，默认 3 分钟过期，校验后立即删除。
 - 后台 JWT 与普通用户 JWT 区分 `admin` 和 `user`，普通用户 Token 不能访问 `/api/admin/*`。
 - 开发态首次后台登录会自动初始化默认管理员：用户名 `admin`，密码 `admin123456`。
 - 默认管理员只用于本地开发；正式部署前必须改为初始化脚本、强密码和管理员密码修改流程。