🔐 修一个严重安全问题：管理密码被硬编码进公开仓库

== 问题 ==

relay/relay.py 第 138 行：

    ADMIN_PASSWORD_DEFAULT = "@REVAedu120830"

而且 _tests/ 和 _build/ 下 11 个文件里也写着明文密码。
这个仓库是要推到**公开的 Gitee / EzHub** 的，等于：

    git 仓库 = 公开的
    管理页路径 /zhongzhuanzhan = 公开的（就写在代码里）
    公网地址 = 公开的
    密码 = 也在仓库里

**= 把管理台的门钥匙挂在门上。**

而且 git 历史删不掉 —— 只是在最新提交里删掉没用，
读过仓库的人已经从历史里拿到了。

== 修法 ==

### 1. 代码里不再有任何固定密码

relay.py 的 admin_password() 改成和 admin_key 一样的做法：

    环境变量 RELAY_ADMIN_PASSWORD
      -> data/admin_password.txt（600 权限，不进仓库）
      -> 都没有就**首次启动随机生成**，写进那个文件并打印一次

这样全新部署的密码天然是随机的、每台不同。

### 2. 11 个文件里的明文密码清掉

    _tests/  acceptance.py, test_relay_admin_login.py,
             test_admin_batch_delete.py, test_admin_button.py,
             test_admin_device_control.py, test_admin_js.py,
             test_admin_netcheck.py
    _build/  check_web.sh, verify_site_admin.sh,
             split_site_admin2.py, test_response_headers.py

统一改成从 RELAY_ADMIN_PASSWORD 环境变量读，
拿不到就从部署的 data/admin_password.txt 读，
再拿不到就**跳过需要登录的用例**（而不是编个假密码硬试）。

### 3. 真机上的密码已经轮换

设备上的 data/admin_password.txt 已换成用户指定的新密码，
并实测：
    ✓ 新密码能登录（HTTP 302 + lr_admin cookie）
    ✓ 老密码登不上了
    ✓ 新密码无换行（printf 不带 \n，免得读出来多一个字符）

顺带：重启中断了 relay-stability 的 A/B 对照 A 组（69 个样本），
分析数据时会标注这一段。

== 新增测试 ==

_tests/test_admin_password_gen.py 验证六件事：
    1. 全新部署会生成随机密码（不是那个老密码）
    2. 密码长度 >= 12、纯字母数字
    3. 用生成的密码能登录管理页
    4. **老密码登不进去**
    5. 重启后密码不变（从文件读回来）
    6. **两次全新部署的密码不一样**（真的是随机的）

== 还没做的（等用户决定）==

git **历史**里还有那个密码。要彻底清掉得重写历史 + 强制推送，
这是个危险操作，按用户的规矩必须他确认之后才做。
而且**光删历史不够** —— 密码已经公开过，必须换（已换）。

relay/relay.py

@@ -134,9 +134,18 @@ def admin_key() -> str:
     return ADMIN_KEY
 
 
-# 管理页密码。用户指定的默认值，可以在 data/admin_password.txt 里改。
-ADMIN_PASSWORD_DEFAULT = "@REVAedu120830"
-# 管理页账号（原来只有密码，用户要求加上账号）
+# 管理页密码。
+#
+# ⚠ 这里**不放默认密码**（以前放了一个写死的，是个严重问题）：
+#   代码一旦进公开仓库，那个密码就等于公开了 ——
+#   而管理页路径和公网地址也是公开的，等于把管理台的门钥匙挂在门上。
+#   就算是私人自用，也不该把密码提交进 git：git 历史删不掉。
+#
+# 正确做法和 admin_key 一样：首次启动**随机生成**，写进
+# data/admin_password.txt（权限 600），只有本机 root 能看。
+# 想指定就用环境变量 RELAY_ADMIN_PASSWORD。
+ADMIN_PASSWORD_DEFAULT = ""
+# 管理页账号。账号本身不是秘密（还得配密码），但也允许覆盖。
 ADMIN_USER_DEFAULT = "xmz7891"
 ADMIN_USER = (os.environ.get("RELAY_ADMIN_USER") or
               ADMIN_USER_DEFAULT)
@@ -204,6 +213,13 @@ ADMIN_PATH = "/zhongzhuanzhan"
 
 
 def admin_password() -> str:
+    """管理页密码。优先级：环境变量 -> data/admin_password.txt -> 随机生成。
+
+    ⚠ 为什么是"随机生成"而不是"写死一个默认值"：
+      写死的默认值一旦进了公开仓库，就等于把管理台钥匙公开 ——
+      而且 git 历史删不掉，改代码也补不回来。
+      随机生成 + 写进 600 权限的文件，只有本机能看。
+    """
     global ADMIN_PASSWORD
     if ADMIN_PASSWORD:
         return ADMIN_PASSWORD
@@ -212,15 +228,33 @@ def admin_password() -> str:
         if path.is_file():
             ADMIN_PASSWORD = path.read_text(encoding="utf-8").strip()
         if not ADMIN_PASSWORD:
-            ADMIN_PASSWORD = ADMIN_PASSWORD_DEFAULT
+            if ADMIN_PASSWORD_DEFAULT:
+                # 兼容：确实想指定一个固定值（不推荐，别提交进仓库）
+                ADMIN_PASSWORD = ADMIN_PASSWORD_DEFAULT
+            else:
+                # 生成一个好念但够强的密码：4 段，每段 4 个字符
+                # 用 token_urlsafe 保证随机性，去掉易混字符
+                raw = secrets.token_urlsafe(12)
+                ADMIN_PASSWORD = "".join(
+                    ch for ch in raw if ch.isalnum())[:16]
             DATA_DIR.mkdir(parents=True, exist_ok=True)
             path.write_text(ADMIN_PASSWORD, encoding="utf-8")
             try:
                 os.chmod(path, 0o600)
             except OSError:
                 pass
+            log("=" * 56)
+            log("  已生成管理页密码（只显示这一次，也写在下面这个文件里）")
+            log("    账号：%s" % ADMIN_USER)
+            log("    密码：%s" % ADMIN_PASSWORD)
+            log("    文件：%s" % path)
+            log("  想改就直接改那个文件，或者设 RELAY_ADMIN_PASSWORD。")
+            log("  ⚠ 不要把密码提交进 git —— 历史删不掉。")
+            log("=" * 56)
     except Exception:                                     # noqa: BLE001
-        ADMIN_PASSWORD = ADMIN_PASSWORD or ADMIN_PASSWORD_DEFAULT
+        # 落盘失败也不能让管理页打不开：退回一个进程内随机密码
+        ADMIN_PASSWORD = ADMIN_PASSWORD or "".join(
+            ch for ch in secrets.token_urlsafe(12) if ch.isalnum())[:16]
     return ADMIN_PASSWORD