🔐 修一个严重安全问题：管理密码被硬编码进公开仓库

== 问题 ==

relay/relay.py 第 138 行：

    ADMIN_PASSWORD_DEFAULT = "@REVAedu120830"

而且 _tests/ 和 _build/ 下 11 个文件里也写着明文密码。
这个仓库是要推到**公开的 Gitee / EzHub** 的，等于：

    git 仓库 = 公开的
    管理页路径 /zhongzhuanzhan = 公开的（就写在代码里）
    公网地址 = 公开的
    密码 = 也在仓库里

**= 把管理台的门钥匙挂在门上。**

而且 git 历史删不掉 —— 只是在最新提交里删掉没用，
读过仓库的人已经从历史里拿到了。

== 修法 ==

### 1. 代码里不再有任何固定密码

relay.py 的 admin_password() 改成和 admin_key 一样的做法：

    环境变量 RELAY_ADMIN_PASSWORD
      -> data/admin_password.txt（600 权限，不进仓库）
      -> 都没有就**首次启动随机生成**，写进那个文件并打印一次

这样全新部署的密码天然是随机的、每台不同。

### 2. 11 个文件里的明文密码清掉

    _tests/  acceptance.py, test_relay_admin_login.py,
             test_admin_batch_delete.py, test_admin_button.py,
             test_admin_device_control.py, test_admin_js.py,
             test_admin_netcheck.py
    _build/  check_web.sh, verify_site_admin.sh,
             split_site_admin2.py, test_response_headers.py

统一改成从 RELAY_ADMIN_PASSWORD 环境变量读，
拿不到就从部署的 data/admin_password.txt 读，
再拿不到就**跳过需要登录的用例**（而不是编个假密码硬试）。

### 3. 真机上的密码已经轮换

设备上的 data/admin_password.txt 已换成用户指定的新密码，
并实测：
    ✓ 新密码能登录（HTTP 302 + lr_admin cookie）
    ✓ 老密码登不上了
    ✓ 新密码无换行（printf 不带 \n，免得读出来多一个字符）

顺带：重启中断了 relay-stability 的 A/B 对照 A 组（69 个样本），
分析数据时会标注这一段。

== 新增测试 ==

_tests/test_admin_password_gen.py 验证六件事：
    1. 全新部署会生成随机密码（不是那个老密码）
    2. 密码长度 >= 12、纯字母数字
    3. 用生成的密码能登录管理页
    4. **老密码登不进去**
    5. 重启后密码不变（从文件读回来）
    6. **两次全新部署的密码不一样**（真的是随机的）

== 还没做的（等用户决定）==

git **历史**里还有那个密码。要彻底清掉得重写历史 + 强制推送，
这是个危险操作，按用户的规矩必须他确认之后才做。
而且**光删历史不够** —— 密码已经公开过，必须换（已换）。

_tests/test_admin_delete.py

@@ -122,8 +122,15 @@ def main() -> int:
 
         print()
         print("二、管理页上有删除按钮吗")
-        status, html = get("/", headers=admin)
+        # ⚠ 管理页搬到 /zhongzhuanzhan 了（用户要求）。
+        #   这里原来写的是 get("/")，抓到的是**官网首页**，
+        #   于是「找不到删除按钮」——而这条测试还不在回归套件里，
+        #   所以一直没人发现它是红的。
+        status, html = get("/zhongzhuanzhan", headers=admin)
         check("管理页能打开", status == 200, status)
+        check("抓到的是管理页不是官网首页",
+              "delAll" in html or "data-device" in html,
+              "页面里既没有 delAll 也没有 data-device，可能抓错了页")
         # class 名改了（del -> "btn del"），改成按行为判定：
         # 有带 data-device 的按钮、且文字是"删除"。
         check("有「删除」按钮",
@@ -240,18 +247,34 @@ json.dump(d, open(p, "w"))
         devices = json.loads(body).get("devices", [])
         check("设备列表是空的（只剩孤儿绑定）", len(devices) == 0, len(devices))
 
+        # ⚠ 行为已经**改好**了，这里原来断言的是旧行为。
+        #
+        #   用户报过的问题：「设备下线了，配对码还占着，别的设备用不了」。
+        #   修法是在 snapshot() 里把「指向已不存在设备的码」当废码直接扔
+        #   （见 relay.py 里 orphan 那一段），**而且顺手落盘** ——
+        #   不然内存清了、盘上还在，重启又恢复，每次重启回滚一次。
+        #
+        #   所以现在不需要管理员手动清场：上面那次 get("/v1/health")
+        #   已经触发了 snapshot()，孤儿码当场就没了。
+        state_now = json.loads(state_file.read_text(encoding="utf-8"))
+        codes_now = [i.get("code") for i in state_now.get("codes", [])]
+        check("孤儿绑定被自动清掉了（用户那个问题已修）",
+              "778899" not in codes_now, codes_now)
+
         status, again = post("/v1/agent/register", {
             "deviceId": "pc-new", "code": "778899", "name": "新设备",
             "version": "1.4.0"})
-        check("孤儿绑定确实挡着这个码（复现了用户的问题）",
-              again.get("ok") is False, again)
+        check("孤儿清掉后这个码能直接用（不用管理员出手）",
+              again.get("ok") is True, again)
 
         admin_key = (relay_data / "admin_key.txt").read_text().strip()
         status, result = post("/v1/admin/delete_all",
                               headers={"X-Admin": admin_key})
         check("清场成功", result.get("ok") is True, result)
-        check("报告清掉了孤儿绑定",
-              result.get("orphansCleared", 0) >= 1,
+        # 孤儿已经在上面被自动清掉了，所以这里清的是刚注册的 pc-new
+        check("清场把绑定清光了",
+              len(json.loads(state_file.read_text(
+                  encoding="utf-8")).get("codes", [])) == 0,
               result.get("orphansCleared"))
 
         status, body = get("/v1/health")