🔐 修一个严重安全问题：管理密码被硬编码进公开仓库

== 问题 ==

relay/relay.py 第 138 行：

    ADMIN_PASSWORD_DEFAULT = "@REVAedu120830"

而且 _tests/ 和 _build/ 下 11 个文件里也写着明文密码。
这个仓库是要推到**公开的 Gitee / EzHub** 的，等于：

    git 仓库 = 公开的
    管理页路径 /zhongzhuanzhan = 公开的（就写在代码里）
    公网地址 = 公开的
    密码 = 也在仓库里

**= 把管理台的门钥匙挂在门上。**

而且 git 历史删不掉 —— 只是在最新提交里删掉没用，
读过仓库的人已经从历史里拿到了。

== 修法 ==

### 1. 代码里不再有任何固定密码

relay.py 的 admin_password() 改成和 admin_key 一样的做法：

    环境变量 RELAY_ADMIN_PASSWORD
      -> data/admin_password.txt（600 权限，不进仓库）
      -> 都没有就**首次启动随机生成**，写进那个文件并打印一次

这样全新部署的密码天然是随机的、每台不同。

### 2. 11 个文件里的明文密码清掉

    _tests/  acceptance.py, test_relay_admin_login.py,
             test_admin_batch_delete.py, test_admin_button.py,
             test_admin_device_control.py, test_admin_js.py,
             test_admin_netcheck.py
    _build/  check_web.sh, verify_site_admin.sh,
             split_site_admin2.py, test_response_headers.py

统一改成从 RELAY_ADMIN_PASSWORD 环境变量读，
拿不到就从部署的 data/admin_password.txt 读，
再拿不到就**跳过需要登录的用例**（而不是编个假密码硬试）。

### 3. 真机上的密码已经轮换

设备上的 data/admin_password.txt 已换成用户指定的新密码，
并实测：
    ✓ 新密码能登录（HTTP 302 + lr_admin cookie）
    ✓ 老密码登不上了
    ✓ 新密码无换行（printf 不带 \n，免得读出来多一个字符）

顺带：重启中断了 relay-stability 的 A/B 对照 A 组（69 个样本），
分析数据时会标注这一段。

== 新增测试 ==

_tests/test_admin_password_gen.py 验证六件事：
    1. 全新部署会生成随机密码（不是那个老密码）
    2. 密码长度 >= 12、纯字母数字
    3. 用生成的密码能登录管理页
    4. **老密码登不进去**
    5. 重启后密码不变（从文件读回来）
    6. **两次全新部署的密码不一样**（真的是随机的）

== 还没做的（等用户决定）==

git **历史**里还有那个密码。要彻底清掉得重写历史 + 强制推送，
这是个危险操作，按用户的规矩必须他确认之后才做。
而且**光删历史不够** —— 密码已经公开过，必须换（已换）。

_build/rotate_password.sh

@@ -0,0 +1,67 @@
+#!/bin/bash
+# 设新密码 + 重启中转 + 自检
+set -u
+D=/root/lanremote-relay
+NEWPW="$1"
+
+echo "  ── 0. 记录 A/B 对照当前进度（重启会打断它，记下来）──"
+date '+    现在 %H:%M:%S'
+[ -f /root/ab_A.out ] && cat /root/ab_A.out | sed 's/^/    /'
+[ -f /root/ab_A_health.tsv ] && echo "    A 组样本: $(wc -l < /root/ab_A_health.tsv)"
+[ -f /root/ab_B.out ] && cat /root/ab_B.out | sed 's/^/    /'
+
+echo
+echo "  ── 1. 备份旧密码文件 ──"
+if [ -f "$D/data/admin_password.txt" ]; then
+    cp "$D/data/admin_password.txt" "$D/data/admin_password.txt.bak-$(date +%H%M%S)"
+    echo "    旧长度: $(wc -c < "$D/data/admin_password.txt")，已备份"
+fi
+
+echo
+echo "  ── 2. 写入新密码 ──"
+printf '%s' "$NEWPW" > "$D/data/admin_password.txt"
+chmod 600 "$D/data/admin_password.txt"
+echo "    新长度: $(wc -c < "$D/data/admin_password.txt")  换行数: $(wc -l < "$D/data/admin_password.txt")"
+ls -la "$D/data/admin_password.txt" | sed 's/^/    /'
+
+echo
+echo "  ── 3. 重启中转 ──"
+systemctl restart lanremote-relay
+sleep 4
+echo "    状态: $(systemctl is-active lanremote-relay)"
+
+echo
+echo "  ── 4. 自检 ──"
+curl -s --max-time 10 -o /dev/null -w '    本机 /v1/health: HTTP %{http_code}\n' \
+    -H 'User-Agent: LanRemote/1.8.2' http://127.0.0.1:8080/v1/health
+KEY=$(cat "$D/data/admin_key.txt" 2>/dev/null)
+echo
+echo "  ⚠ 密码不在这个脚本输出里出现（避免进日志）"
+echo "    只报长度和是否能登录："
+# 用新密码试登录，只看有没有拿到 cookie，不打印密码
+code=$(curl -s --max-time 15 -o /dev/null -w '%{http_code}' \
+    -c /tmp/ck.txt \
+    -d "username=xmz7891&password=$NEWPW" \
+    "http://127.0.0.1:8080/admin/login" 2>/dev/null)
+if grep -q lr_admin /tmp/ck.txt 2>/dev/null; then
+    echo "    ✓ 新密码能登录（HTTP $code，拿到 lr_admin cookie）"
+else
+    echo "    ✗ 新密码登录失败（HTTP $code）"
+fi
+rm -f /tmp/ck.txt
+
+# 老密码应该登不上
+code2=$(curl -s --max-time 15 -o /dev/null -w '%{http_code}' \
+    -c /tmp/ck2.txt \
+    -d "username=xmz7891&password=@REVAedu120830" \
+    "http://127.0.0.1:8080/admin/login" 2>/dev/null)
+if grep -q lr_admin /tmp/ck2.txt 2>/dev/null; then
+    echo "    ✗ **老密码还能登录**（有问题）"
+else
+    echo "    ✓ 老密码登不上了（HTTP $code2）"
+fi
+rm -f /tmp/ck2.txt
+
+echo
+echo "  ── 5. 中转日志最后 5 行 ──"
+journalctl -u lanremote-relay -n 5 --no-pager 2>/dev/null | sed 's/^/    /'