feat: 新增 /admin 只读授权管理后台

- admin.py：HTTP Basic Auth + 服务端渲染单页，概览统计 / 用户与当前授权 /
  最近使用记录 / 会话令牌 / 扫码场景五个区块
- ADMIN_PASSWORD 为空时返回 503 而非放行，避免漏配密码导致全库数据公开
- 不引模板引擎与 CDN，所有入库文本经 html.escape；令牌只显示首尾便于比对
- config.py / .env.example 新增 ADMIN_USER / ADMIN_PASSWORD
- wechat.py 挂载 admin.router；CODEBUDDY.md 补充文档

config.py

@@ -32,3 +32,8 @@ SCENE_TTL_SECONDS = int(os.getenv("SCENE_TTL_SECONDS", "300"))  # 二维码/scen
 SESSION_TTL_HOURS = int(os.getenv("SESSION_TTL_HOURS", "24"))   # session_token 有效期（小时）
 # 时间授权 usage_logs 节流窗口（秒）：同一用户+设备在此窗口内只记一条
 USAGE_LOG_THROTTLE_SECONDS = int(os.getenv("USAGE_LOG_THROTTLE_SECONDS", "60"))
+
+# 管理后台（/admin）的 HTTP Basic Auth 凭据。
+# ADMIN_PASSWORD 为空时 /admin 直接返回 503，绝不放行——避免「忘了配密码 = 谁都能进」。
+ADMIN_USER = os.getenv("ADMIN_USER", "admin")
+ADMIN_PASSWORD = os.getenv("ADMIN_PASSWORD", "")