feat: 新增用户管理（用户增删改查、密码重置、角色权限、会话认证）与 API 指南

- 新增 app/api/deps.py、app/core/users.py、app/core/sessions.py：会话鉴权依赖、
  用户存储（PBKDF2-HMAC-SHA256 + 随机 salt，Redis/内存降级）、会话签发与校验（TTL 12h）
- auth.py 新增用户管理端点（列表/创建/重置密码/删除）与 admin/user 角色权限边界，
  user 访问用户管理返回 1006，禁删自己与最后一个 admin
- admin.html 新增用户管理面板（仅 admin 挂载）与 API 指南在线测试台
- Dockerfile 将 uv 放入 PATH；docker-compose 调整 qdrant 依赖为 service_started
  并移除依赖 curl 的 healthcheck（官方镜像不含 curl）
- 新增用户管理测试（users/sessions/auth_api/auth_integration），全量 461 项测试通过

Co-Authored-By: WorkBuddy <workbuddy@tencent.com>

tests/test_ingest_async_integration.py

@@ -137,7 +137,7 @@ def _patch_app(
 class TestIngestAsyncFullLoop:
     """全链路闭环：异步入库 → 任务查询 → 文档管理 → 检索 → 删除"""
 
-    async def test_full_loop(self, monkeypatch: pytest.MonkeyPatch):
+    async def test_full_loop(self, monkeypatch: pytest.MonkeyPatch, admin_headers: dict[str, str]):
         qdrant, ingester, retriever = await _make_env(FakeOllama())
         recording = RecordingIngester(ingester)
         manager = IngestTaskManager(recording, None, Settings())  # type: ignore[arg-type]
@@ -145,8 +145,10 @@ class TestIngestAsyncFullLoop:
         doc = _structured_doc()
 
         with TestClient(app) as client:
-            # 1. 提交入库：202 + task_id
-            resp_post = client.post("/api/v1/documents", json={"text": doc.text, "title": doc.title})
+            # 1. 提交入库：202 + task_id（变更类端点需 admin 认证头）
+            resp_post = client.post(
+                "/api/v1/documents", json={"text": doc.text, "title": doc.title}, headers=admin_headers
+            )
             assert resp_post.status_code == 202
             body_post = resp_post.json()
             assert body_post["code"] == 0
@@ -185,7 +187,7 @@ class TestIngestAsyncFullLoop:
             assert any(hit["doc_id"] == document_id for hit in hits)
 
             # 6. 删除：四层集合中该文档全部清除
-            resp_delete = client.delete(f"/api/v1/documents/{document_id}")
+            resp_delete = client.delete(f"/api/v1/documents/{document_id}", headers=admin_headers)
             body_delete = resp_delete.json()
             assert body_delete["code"] == 0
             assert body_delete["data"]["deleted_total"] > 0