feat: complete login and user management flow

docs/first-version-development-requirements.md

@@ -835,7 +835,7 @@
 2. NestJS 后端实现 Prisma schema、migration、Service、Controller、DTO、单元测试。
 3. Go Gateway 实现配置、连接管理、CMPP submit/deliver/active test、回执事件发布、单元测试。
 4. 前端将对应 mock 数据替换为 API 调用，保留现有视觉样式。
-5. 原型阶段的 mock、localStorage 或静态数据只能作为开发临时兜底，不得作为真实开发完成标准；审核、通道、连接、日志、黑名单、敏感词、报备字段、用户、账务等闭环必须接入真实 API、数据库或 Gateway 回写。
+5. 原型阶段的 mock、localStorage 或静态数据只能用于早期界面占位；进入系统功能验收后不得继续作为兜底通过路径。审核、通道、连接、日志、黑名单、敏感词、报备字段、用户、账务等闭环必须接入真实 API、数据库或 Gateway 回写；API 不可用时应展示错误态或空态，并将用例标记为阻塞或未通过。
 6. 补充错误处理、权限校验、操作日志。
 7. 运行构建和相关测试，并更新测试进度文档。
 ```
@@ -1158,10 +1158,40 @@
 - 不从零手写整个 CMPP 协议栈，也不直接照搬完整开源网关；协议层可复用，服务层按本项目自研。
 - NestJS 负责业务审核、风控、计费、报备、路由和发送编排。
 - Go Gateway 只负责 CMPP 连接、协议提交、submit resp、回执、上行事件回传。
-- 当前项目已进入真实开发阶段；前端 mock、localStorage 或静态数据只能临时兜底，不能作为功能完成标准。涉及审核、通道、连接、日志、安全控制、用户、账务等闭环时，必须接入真实 API、数据库或 Gateway 回写，并补测试。
+- 当前项目已进入真实开发阶段；前端 mock、localStorage 或静态数据不得作为功能完成标准，也不得作为验收兜底通过路径。涉及审核、通道、连接、日志、安全控制、用户、账务等闭环时，必须接入真实 API、数据库或 Gateway 回写，并补真实后端 smoke 或 E2E 测试。
 
 请从 docs/first-version-development-requirements.md 的“阶段 0：技术 Spike”开始执行。
 
+## 追加需求：登录与用户管理闭环
+
+### 1. 登录入口
+
+- 客户端和运营端必须使用独立登录页面：客户端 `/client/login`，运营端 `/admin/login`。
+- 两端登录均输入邮箱或手机号、密码和图形验证码。
+- 登录接口必须调用真实 NestJS API，不允许前端静态用户、localStorage mock 或纯前端验证码作为验收依据。
+- 运营端登录仅允许平台管理员；客户端登录仅允许已关联企业的企业管理员。
+
+### 2. 用户类型和企业关联
+
+- 运营端用户管理支持创建两类用户：平台管理员、企业管理员。
+- 平台管理员不得关联企业，只能登录运营端。
+- 企业管理员必须关联一个企业，只能登录客户端。
+- 企业管理员登录客户端后，所有客户端 API 必须继承当前企业租户范围，用户、Dashboard、账务、日志等数据不得越权访问其他企业。
+
+### 3. 用户管理功能
+
+- 运营端和客户端用户管理均需接入真实 API，支持添加、编辑、启用/禁用、删除、修改密码。
+- 启用/禁用、删除必须弹窗确认。
+- 删除采用软删除，历史系统日志、审核记录和业务记录仍可追溯；删除后用户不可登录且列表默认不展示。
+- 客户端用户字段必须包含邮箱和手机号，并支持邮箱或手机号登录。
+- 所有创建、编辑、启用、禁用、删除、修改密码动作必须写系统日志。
+
+### 4. fail2ban
+
+- 用户连续登录失败 5 次后，账号锁定 24 小时。
+- 锁定状态必须写入后端持久化字段，后续登录直接拒绝。
+- 登录成功后清空失败次数和锁定状态。
+
 第一步请先不要大规模写业务代码，先输出并创建阶段 0 Spike 的最小工程计划，包括：
 1. 目录结构建议。
 2. NestJS 与 Go Gateway 的队列消息格式。