feat: 新增用户管理（用户增删改查、密码重置、角色权限、会话认证）与 API 指南

- 新增 app/api/deps.py、app/core/users.py、app/core/sessions.py：会话鉴权依赖、
  用户存储（PBKDF2-HMAC-SHA256 + 随机 salt，Redis/内存降级）、会话签发与校验（TTL 12h）
- auth.py 新增用户管理端点（列表/创建/重置密码/删除）与 admin/user 角色权限边界，
  user 访问用户管理返回 1006，禁删自己与最后一个 admin
- admin.html 新增用户管理面板（仅 admin 挂载）与 API 指南在线测试台
- Dockerfile 将 uv 放入 PATH；docker-compose 调整 qdrant 依赖为 service_started
  并移除依赖 curl 的 healthcheck（官方镜像不含 curl）
- 新增用户管理测试（users/sessions/auth_api/auth_integration），全量 461 项测试通过

Co-Authored-By: WorkBuddy <workbuddy@tencent.com>

tests/test_document_upload_api.py

@@ -29,7 +29,9 @@ class FakeManager:
 
 
 @pytest.fixture
-def client(monkeypatch: pytest.MonkeyPatch, tmp_path: Path) -> Iterator[TestClient]:
+def client(
+    monkeypatch: pytest.MonkeyPatch, tmp_path: Path, admin_headers: dict[str, str]
+) -> Iterator[TestClient]:
     async def _noop_ensure_collections(self: QdrantService) -> None:
         return None
 
@@ -38,6 +40,7 @@ def client(monkeypatch: pytest.MonkeyPatch, tmp_path: Path) -> Iterator[TestClie
         document_module.settings, "upload_dir", str(tmp_path / "uploads")
     )
     with TestClient(app) as test_client:
+        test_client.headers.update(admin_headers)
         yield test_client
 
 
@@ -91,7 +94,7 @@ def test_upload_md_returns_202_and_saves_file(
     manager = FakeManager(task_id="abc-upload")
     _inject_manager(monkeypatch, manager)
 
-    content = "# Hello\n\nThis is a markdown file.".encode("utf-8")
+    content = b"# Hello\n\nThis is a markdown file."
     resp = client.post(
         "/api/v1/documents/upload",
         files={"file": ("notes.md", content, "text/markdown")},