feat(auth): 添加认证模块和图片批注功能（项目初始化）

- 实现用户登录、登出、密码修改等认证功能
- 添加会话管理和权限控制中间件
- 创建图片批注组件和相关API路由
- 实现批注的增删改查功能
- 添加Docker和Git忽略配置文件
- 创建系统架构文档和开发约定说明
- 集成认证模块到前端应用路由中

docs/handoff.md

@@ -0,0 +1,37 @@
+# 初版交接说明
+
+## 已完成
+
+- 三类工作台角色、运营组隔离、账号管理和 7 天会话
+- 项目、作品交付集、作品、版本和验收状态
+- 手动多图上传、封面、上传前拖拽排序及新版本
+- 图片坐标批注、标题/正文批注、总体反馈和验收记录
+- 客户项目链接、密码、姓名、期限和验收决定
+- API Key、审计日志、COS 前端配置及连接测试
+- SQLite/PostgreSQL 双运行时、迁移验证和 Docker 部署
+- 桌面端与移动端响应式页面
+
+## 初版上线前仍需完成
+
+以下需求尚未在代码中完整落地，不应在交付时宣称可用：
+
+- ZIP + CSV 批量导入和最多 100 个作品的异步批量 API
+- `externalId` 幂等创建项目、作品交付集和作品
+- webhook 与站内未读通知
+- PDF 验收报告和最终原图 ZIP 导出
+- 批注/回复的参考图片附件
+- 项目、作品交付集、作品的回收站、归档恢复和永久删除规则
+- 已上传作品在所有阶段的图片重新排序
+- 在线人员状态、实时变更通知和并发版本冲突保护
+- HEIC/HEIF 转换、缩略图流水线和 EXIF 定位信息清理
+- 自动化端到端浏览器测试及真实腾讯云、PostgreSQL 部署演练
+
+## 上线门槛
+
+初版正式发布至少应满足：
+
+1. 使用 PostgreSQL 和独立生产 COS 桶，完成一次备份恢复演练。
+2. 轮换所有在聊天、截图或开发数据库中出现过的云密钥和临时密码。
+3. 在 HTTPS 域名下验证平台管理员、组管理员、光影叙事和客户四条核心流程。
+4. 根据真实交付承诺，从上方未完成清单中选定必须进入初版的项目。
+