2026-08-10 M08-D 后台密码认证

版本：2026081004_m08d_admin_password_auth
up：新增 qipai_admin_credentials，按租户唯一约束登录名和 STAFF 用户，保存 scrypt 哈希、失败次数、锁定时间、密码变更及最近登录时间。
会话扩展：qipai_auth_sessions 新增 refresh_token_hash、refresh_expires_at 和活动刷新过期索引；刷新令牌只保存 SHA-256，不保存可直接使用的明文。
down：先删除刷新索引与两列，再删除后台凭据表和迁移版本；与既有顾客微信登录会话兼容。
verify：检查凭据表、会话列、唯一/刷新索引和迁移版本。
WSL MySQL 8.4.10 已完成 144 up、124 verify、140 down 的 up → verify → down → up → verify 往返；实测 scrypt 登录、失败审计、刷新轮换、旧令牌拒绝及无明文密码。