feat(admin): add session-based portal login

docs/EXECUTION_BOARD.md

@@ -35,7 +35,7 @@
     - `https://sub.tksea.top/portal/admin/providers.html`：provider 目录 / preview-import / import / manifest 草稿页
     - `https://sub.tksea.top/portal/admin/batch-import.html`：结构化 batch-import 入口，当前跳转到 legacy `admin-batch-import.html`
     - Nginx 示例与 deploy 脚本已补同域 CRM 反代 `https://sub.tksea.top/portal-admin-api/`
-    - 目的不是绕过鉴权，而是让浏览器可直接操作 remote43 CRM，同时继续由 Bearer admin token 控制权限
+    - 目的不是绕过鉴权，而是让浏览器可直接操作 remote43 CRM；当前已继续补成“管理员用户名 / 密码登录 + HttpOnly session cookie”，同时保留 Bearer admin token 兼容脚本与紧急兜底
   - 2026-05-27 已继续把 provider manifest 草稿从“只存在浏览器”补成真正的服务端能力：
     - 新增 `POST /api/provider-drafts`
     - 新增 `GET /api/provider-drafts`
@@ -67,6 +67,18 @@
     - `GET /portal/` 返回 `200`
     - `GET /kimi-portal/` 返回 `302 -> /portal/`
     - `GET /portal-proxy/api/v1/keys` 在无效 token 下已命中宿主真实 `INVALID_TOKEN`，说明新的同域代理已生效
+  - 2026-05-28 已继续把管理态“每次手贴 Bearer token”收口为正式登录流：
+    - 新增 `GET /api/admin/session`
+    - 新增 `POST /api/admin/session/login`
+    - 新增 `POST /api/admin/session/logout`
+    - 管理态受保护接口现已同时接受：
+      - `Authorization: Bearer <SUB2API_CRM_ADMIN_TOKEN>`
+      - 或同域管理员 session cookie
+    - `providers.html` 与 `admin-batch-import.html` 现已优先走 session，token 输入框仅保留为兜底
+    - 当前部署环境可通过以下变量显式配置管理员账号：
+      - `SUB2API_CRM_ADMIN_USERNAME`
+      - `SUB2API_CRM_ADMIN_PASSWORD`
+      - `SUB2API_CRM_ADMIN_SESSION_TTL`
 - 2026-05-26 已把“最终用户 -> 公网域名 -> OpenClaw”这一跳补进正式验证口径：
   - 公网根地址当前统一为 `https://sub.tksea.top`
   - OpenClaw 本地 `MiniMax` 运行时故障已定位为 `pi-ai/openai-node` 未继承系统 `HTTP(S)_PROXY`，不是 allowlist 或模型名大小写问题