feat: complete login and user management flow

docs/testing-progress.md

@@ -325,3 +325,32 @@ GET  /api/admin/system-logs?page=1&pageSize=2
 ### 剩余说明
 
 - 根 `npm run dev` 为稳定预览模式，不提供 Vite HMR；保留原因是 Vite 8/Rolldown dev transform 在当前 Windows + 中文路径工作区下会阻塞模块请求并造成白屏。开发时如需热更新，可另行评估降级 Vite 或迁移工作区路径后恢复原生 dev server。
+
+## 2026-07-02 登录与用户管理闭环补充
+
+### 本轮修复范围
+
+- 新增用户登录字段和 fail2ban 持久化字段：`email`、`phone`、`failedLoginCount`、`lockedUntil`、`lastLoginAt`、`deletedAt`。
+- 登录入口拆分为 `/client/login` 和 `/admin/login`，两端均调用真实验证码和登录 API。
+- 运营端登录仅允许 `platform_admin`；客户端登录仅允许已关联企业的 `enterprise_admin`。
+- 运营端用户管理接入真实 `/api/admin/users`，支持平台管理员和企业管理员的新增、编辑、启用/禁用、删除、改密；企业管理员必须关联企业。
+- 客户端用户管理接入真实 `/api/client/users`，所有操作继承当前登录企业 `tenantId`。
+- 启用/禁用、删除均通过确认弹窗执行；用户删除采用软删除，不破坏历史日志和业务记录。
+- 连续 5 次登录失败后锁定 24 小时；登录成功清空失败次数和锁定状态。
+
+### 已执行测试
+
+```bash
+npm --prefix api test -- users.service.spec.ts auth.service.spec.ts
+npm --prefix api run prisma:generate
+npm --prefix api run build
+npm run build
+```
+
+### 当前结果
+
+- `users.service.spec.ts`、`auth.service.spec.ts`：通过，覆盖用户类型约束、企业关联约束、操作日志、端登录隔离和失败次数累计。
+- API build：通过。
+- 前端 build：通过，仍有既有大 chunk warning。
+- `tools/smoke/real-env-smoke.mjs` 已同步企业管理员邮箱/手机号、角色 seed、验证码登录和 CMPP 端口 `17890`。
+- 真实数据库迁移、浏览器端登录 smoke 需要在生产验证环境执行 `prisma migrate deploy` 后补充记录。