feat(auth): 登录白名单细化为黑名单模式(approved 默认放行)+ 同步构建产物

- approved 放行标记默认 True:新账号首次登录即放行,登录白名单开关打开时只拦截
  被管理员显式「取消放行」(approved=False) 的用户;enforce_user_approved 放在
  各登录端点拿到 user 后、签发 JWT 前调用,admin 永远放行。
- 同步调整 LoginWhitelistPage / local_provider / models / system_settings /
  迁移 20260625_02 / user model / column_additions_mysql.sql 与 CLAUDE.md。
- 更新 backend/backend.zip 构建产物。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

offline-backend-20260512/backend/scripts/sql/column_additions_mysql.sql

@@ -117,11 +117,11 @@ CALL _add_column_if_missing('knowledge_notes', 'folder', 'VARCHAR(512) NULL DEFA
 --          ORM: RoundtableJobRow.task_id = String(128), nullable, indexed。
 CALL _add_column_if_missing('roundtable_jobs', 'task_id', 'VARCHAR(128) NULL DEFAULT NULL');
 
--- ---- users.approved: 登录白名单放行标记,对应 migration 20260625_02 -----------
--- 系统设置 login_whitelist.enabled 打开后,仅 approved=1(或 admin)可登录;普通用户
--- 自助注册后默认 0(待审批),管理员在白名单管理页放行。DEFAULT 1 让存量用户(执行本
--- 脚本补列时)一并置为已放行,避免首次打开开关把老用户锁死。
--- ORM: UserRow.approved = Boolean, NOT NULL, server_default '1'。
+-- ---- users.approved: 登录白名单放行标记(黑名单模式),对应 migration 20260625_02 ----
+-- 系统设置 login_whitelist.enabled 打开后,仅被管理员显式「取消放行」(approved=0) 的
+-- 用户被拦;新账号(含从未登录过的用户)默认 1(已放行),admin 永远放行。DEFAULT 1 让
+-- 存量用户(执行本脚本补列时)一并置为已放行,避免首次打开开关把老用户锁死。
+-- ORM: UserRow.approved = Boolean, NOT NULL, default True, server_default '1'。
 CALL _add_column_if_missing('users', 'approved', 'TINYINT(1) NOT NULL DEFAULT 1');
 
 -- ---- 清理临时存储过程 --------------------------------------------------------