# 2026-08-10 M08-D 后台密码认证

- 版本：`2026081004_m08d_admin_password_auth`
- up：新增 `qipai_admin_credentials`，按租户唯一约束登录名和 STAFF 用户，保存 scrypt 哈希、失败次数、锁定时间、密码变更及最近登录时间。
- 会话扩展：`qipai_auth_sessions` 新增 `refresh_token_hash`、`refresh_expires_at` 和活动刷新过期索引；刷新令牌只保存 SHA-256，不保存可直接使用的明文。
- down：先删除刷新索引与两列，再删除后台凭据表和迁移版本；与既有顾客微信登录会话兼容。
- verify：检查凭据表、会话列、唯一/刷新索引和迁移版本。
- WSL MySQL 8.4.10 已完成 144 up、124 verify、140 down 的 `up → verify → down → up → verify` 往返；实测 scrypt 登录、失败审计、刷新轮换、旧令牌拒绝及无明文密码。