feat: 实现用户登录认证与权限控制系统

- 新增用户登录页面与API端点（/api/auth/login、/api/auth/logout、/api/auth/me）
- 引入基于密码哈希的认证机制，支持默认管理员账号登录
- 创建访问控制模块（lib/access-control.ts），实现基于角色的权限验证
- 在现有API端点中集成权限检查，限制非管理员用户只能访问其所属项目数据
- 更新应用布局，要求用户登录后才能访问主界面
- 扩展用户表结构，增加用户名和密码哈希字段
- 调整项目、KR、目标、会议记录等资源的查询逻辑，根据用户权限过滤数据
- 改进管理页面（指标、模板）的删除操作，使用确认对话框替代直接确认
- 优化“我的KR”页面，为管理员提供全员KR概览视图
- 修复.gitignore文件中的拼写错误（.trae → .travis）
- 添加数据库迁移脚本，支持任务直接关联项目、禁用RLS、添加求助字段等
- 配置Next.js以支持独立输出和子路径部署

app/api/users/[id]/route.ts

@@ -1,13 +1,23 @@
 import { NextRequest, NextResponse } from 'next/server';
 import { supabase } from '@/lib/supabase';
+import { ensureAdmin, ensureAuthenticated, getAuthContext } from '@/lib/access-control';
 
 export async function GET(
   request: NextRequest,
   { params }: { params: { id: string } }
 ) {
+  const ctx = await getAuthContext(request);
+  const auth = ensureAuthenticated(ctx);
+  if (!auth.ok) {
+    return NextResponse.json({ error: auth.error }, { status: auth.status });
+  }
+  if (!ctx!.isAdmin && ctx!.user.id !== params.id) {
+    return NextResponse.json({ error: '无权限' }, { status: 403 });
+  }
+
   const { data, error } = await supabase
     .from('users')
-    .select('*')
+    .select('id,name,role,avatar_url,username,created_at,updated_at')
     .eq('id', params.id)
     .maybeSingle();
 
@@ -26,14 +36,30 @@ export async function PATCH(
   request: NextRequest,
   { params }: { params: { id: string } }
 ) {
+  const ctx = await getAuthContext(request);
+  const auth = ensureAdmin(ctx);
+  if (!auth.ok) {
+    return NextResponse.json({ error: auth.error }, { status: auth.status });
+  }
+
   const body = await request.json();
-  const { name, role, avatar_url } = body;
+  const { name, role, avatar_url, username, password } = body;
+
+  const updateData: Record<string, unknown> = { updated_at: new Date().toISOString() };
+  if (name !== undefined) updateData.name = name;
+  if (role !== undefined) updateData.role = role;
+  if (avatar_url !== undefined) updateData.avatar_url = avatar_url;
+  if (username !== undefined) updateData.username = username || null;
+  if (password) {
+    const { hashPassword } = await import('@/lib/password');
+    updateData.password_hash = hashPassword(String(password));
+  }
 
   const { data, error } = await supabase
     .from('users')
-    .update({ name, role, avatar_url, updated_at: new Date().toISOString() })
+    .update(updateData)
     .eq('id', params.id)
-    .select()
+    .select('id,name,role,avatar_url,username,created_at,updated_at')
     .single();
 
   if (error) {
@@ -47,6 +73,30 @@ export async function DELETE(
   request: NextRequest,
   { params }: { params: { id: string } }
 ) {
+  const ctx = await getAuthContext(request);
+  const auth = ensureAdmin(ctx);
+  if (!auth.ok) {
+    return NextResponse.json({ error: auth.error }, { status: auth.status });
+  }
+
+  const { data: user, error: userError } = await supabase
+    .from('users')
+    .select('id,role')
+    .eq('id', params.id)
+    .maybeSingle();
+
+  if (userError) {
+    return NextResponse.json({ error: userError.message }, { status: 500 });
+  }
+
+  if (!user) {
+    return NextResponse.json({ error: '用户不存在' }, { status: 404 });
+  }
+
+  if (user.role === 'owner') {
+    return NextResponse.json({ error: '不能删除老板账号' }, { status: 400 });
+  }
+
   const { error } = await supabase
     .from('users')
     .delete()