chore: disable password login in production

docs/source-analysis.html

@@ -1250,6 +1250,7 @@ ProductRefStateItem {
             <div class="body">
               <p><strong>问题：</strong>飞书接入后继续保留共享密码入口，后续成员容易误用旧密码账号，导致新内容继续落到 <code>password:skg</code>，和飞书个人身份沉淀混在一起。</p>
               <p><strong>改动：</strong><code>api/main.py</code> 新增 <code>PASSWORD_AUTH_ENABLED</code> 总开关；生产设为 <code>false</code> 后，<code>/auth/config</code> 返回 <code>password_enabled=false</code>，登录页不再展示账号密码表单，<code>/auth/login</code> 不再可用，旧密码 Cookie 会在校验时失效。<code>WEB_AUTH_SESSION_SECRET</code> 仍保留用于飞书会话签名，旧备用账号配置只作为应急恢复材料，不作为当前入口。</p>
+              <p><strong>验证：</strong>生产 <code>/api/auth/config</code> 返回 <code>password_enabled=false</code>、<code>feishu_enabled=true</code>；<code>GET /api/auth/feishu/start?next=/</code> 返回 302 到飞书授权页；<code>POST /api/auth/login</code> 返回 503 <code>账号密码登录未配置</code>。</p>
               <p><strong>影响：</strong>新成员只能通过飞书登录，后续新建任务和画布都会绑定真实飞书 owner。旧 <code>password:skg</code> 数据不会自动归属到任何飞书用户，后续应通过公司可见/认领/管理员迁移处理。</p>
             </div>
           </article>