第 5 阶段：纠纷、通知与后台-2

docs/api.md

@@ -46,6 +46,9 @@ API 规划以 [项目计划](project-plan.md) 第 10 章为准。
 - `GET /api/wallet/ledger`
 - `GET /api/notifications`
 - `POST /api/notifications/{id}/read`
+- `POST /api/admin/auth/login`
+- `POST /api/admin/auth/logout`
+- `GET /api/admin/me`
 - `GET /api/admin/disputes`
 - `POST /api/admin/disputes/{id}/arbitrate`
 - `GET /api/admin/system-configs`

docs/business-rules.md

@@ -91,4 +91,11 @@
 - 系统配置接口为 `/api/admin/system-configs`。
 - 首次查询会自动补齐一组默认配置，包括交接超时、归还确认超时、短信限流、最低押金、实名下单开关、平台抽成和提现门槛。
 - 更新配置会写入 `audit_logs`，记录操作人、配置项、修改前值和修改后值。
-- 当前后台接口仍是开发态 mock 权限，只要求登录；后续接入后台管理员、角色和权限后再限制可操作配置项。
+- 当前后台接口已使用独立管理员登录和后台 JWT；后续接入角色和权限后再限制可操作配置项。
+
+## 开发态后台登录
+
+- 后台登录接口为 `/api/admin/auth/login`，前端页面为 `/admin/login`。
+- 后台 JWT 与普通用户 JWT 区分 `admin` 和 `user`，普通用户 Token 不能访问 `/api/admin/*`。
+- 开发态首次后台登录会自动初始化默认管理员：用户名 `admin`，密码 `admin123456`。
+- 默认管理员只用于本地开发；正式部署前必须改为初始化脚本、强密码和管理员密码修改流程。

docs/project-plan.md

@@ -614,20 +614,23 @@
 
 后台：
 
-- `GET /admin/dashboard`：后台仪表盘。
-- `GET /admin/users`：用户列表。
-- `POST /admin/users/{id}/freeze`：冻结用户。
-- `POST /admin/users/{id}/unfreeze`：解冻用户。
-- `GET /admin/listings/pending`：待审核商品。
-- `POST /admin/listings/{id}/approve`：审核通过。
-- `POST /admin/listings/{id}/reject`：审核拒绝。
+- `POST /api/admin/auth/login`：后台登录。
+- `POST /api/admin/auth/logout`：后台退出。
+- `GET /api/admin/me`：当前管理员信息。
+- `GET /api/admin/dashboard`：后台仪表盘。
+- `GET /api/admin/users`：用户列表。
+- `POST /api/admin/users/{id}/freeze`：冻结用户。
+- `POST /api/admin/users/{id}/unfreeze`：解冻用户。
+- `GET /api/admin/listings/pending`：待审核商品。
+- `POST /api/admin/listings/{id}/approve`：审核通过。
+- `POST /api/admin/listings/{id}/reject`：审核拒绝。
 - `GET /api/admin/orders`：订单列表。
 - `GET /api/admin/disputes`：纠纷列表。
 - `POST /api/admin/disputes/{id}/arbitrate`：纠纷仲裁。
 - `GET /api/admin/wallet/ledger`：资金流水。
 - `GET /api/admin/system-configs`：系统配置列表。
 - `PUT /api/admin/system-configs/{key}`：更新系统配置。
-- `GET /admin/audit-logs`：审计日志。
+- `GET /api/admin/audit-logs`：审计日志。
 
 ## 11. 安全与风控