feat(admin): add session-based portal login

docs/DEPLOYMENT.md

@@ -62,6 +62,7 @@ SUB2API_CRM_ADMIN_TOKEN=change-me-before-production SUB2API_CRM_LISTEN_ADDR=127.
 - `https://sub.tksea.top/portal/admin/`
   - 管理首页
   - 统一提供“新增模型 / 供应商目录”和“导入供应商帐号”入口
+  - 当前已支持管理员用户名 / 密码登录；登录成功后浏览器会持有同域 HttpOnly session cookie
 - `https://sub.tksea.top/portal/admin/providers.html`
   - provider 目录与 preview/import 管理页
   - 当前已支持通过 `provider_drafts` API 把 provider manifest 草稿持久化到 CRM SQLite，并直接更新 / 删除 / 发布到 pack 仓库
@@ -77,9 +78,23 @@ SUB2API_CRM_ADMIN_TOKEN=change-me-before-production SUB2API_CRM_LISTEN_ADDR=127.
 
 - `https://sub.tksea.top/portal-admin-api/`
   - 反代到 CRM
-  - 浏览器侧仍需 Bearer admin token
+  - 浏览器侧优先走管理员 session；同时保留 Bearer admin token 兼容脚本与紧急兜底
   - 作用是让静态 admin 页面不必直接访问 remote43 的内网 `18173`
 
+管理员登录配置：
+
+- `SUB2API_CRM_ADMIN_TOKEN`
+  - 必填
+  - 继续作为服务端管理 API 的 Bearer token，同时也是 session cookie 的签名密钥
+- `SUB2API_CRM_ADMIN_USERNAME`
+  - 可选，默认 `admin`
+- `SUB2API_CRM_ADMIN_PASSWORD`
+  - 可选
+  - 若未配置，当前实现会回退为“使用 `SUB2API_CRM_ADMIN_TOKEN` 作为登录密码”
+- `SUB2API_CRM_ADMIN_SESSION_TTL`
+  - 可选，默认 `12h`
+  - 控制浏览器管理态 session 的有效期
+
 当前 provider 草稿发布相关 API：
 
 - `POST /api/provider-drafts`