feat(admin): 后台登录支持「记住此设备」(免二次验证 + 保持登录)

常用设备(已在 mTLS 白名单内)每次都要输 TOTP + 30 分钟就掉线,体验差。
新增登录页「记住此设备」勾选:

- 勾选并成功登录(需完整 密码+TOTP)后,签发 30 天设备信任令牌(HttpOnly/
  Secure/SameSite=Strict cookie,Redis 存储绑定 admin ID),并把会话延到 30 天
  (持久 cookie + 服务端 TTL,滑动续期按会话自身 TTL)。
- 之后该设备重登只需 用户名+密码,**跳过 TOTP**;会话在有效期内保持登录。

安全不变量(均有测试覆盖):
- 密码永远必验——即便持有效信任令牌,密码错一律拒(只跳过第二因子,不跳过密码);
- 信任令牌绑定 admin,alice 的令牌不能给 bob 免 TOTP;
- 无令牌 + 空 TOTP 一律拒(未记住设备仍强制二次验证);
- 令牌过期/Redis 清空/未知令牌全部 fail-closed 回退到「要 TOTP」;
- TrustedDeviceTTL=0 关闭整功能(勾选无效)。

实现:新增 TrustedStore(Redis, trusted.go);Authenticator.LoginDevice
(旧 Login 保持签名,委托新方法,零行为变化);SessionStore.CreateWithTTL +
Session.TTLSeconds 支持持久会话按自身 TTL 滑动;handler 读 cookie/勾选、
按 Persistent 设长短会话 cookie、下发信任 cookie;登录页加勾选、TOTP 去
required。配置项 ADMIN_TRUSTED_DEVICE_TTL(默认 720h)。

测试:trusted_test(签发/校验/绑定/吊销/过期/禁用)、login_device_test
(跳过TOTP/仍需密码/绑定admin/无令牌需TOTP)、login_device_handler_test
(端到端 勾选→双cookie→凭信任cookie免TOTP、无信任空TOTP 401);
go test ./internal/admin 全绿,go vet 净。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu

server/internal/admin/config.go

@@ -44,6 +44,12 @@ type Config struct {
 	// CookieSecure controls the Secure attribute on the session cookie.
 	// Defaults to true; only disabled explicitly for local/dev over plain HTTP.
 	CookieSecure bool
+
+	// TrustedDeviceTTL is how long a "记住此设备" trust lasts. Within this window
+	// the device (a) skips the TOTP second factor on re-login and (b) keeps a
+	// persistent session of the same length. Password is ALWAYS still required.
+	// Zero disables the feature (checkbox has no effect).
+	TrustedDeviceTTL time.Duration
 }
 
 // defaultInternalCIDRs are the loopback and private/ULA ranges allowed by
@@ -66,6 +72,7 @@ var defaultInternalCIDRs = []string{
 //	ADMIN_LOGIN_FAIL_MAX  int                     (default 5)
 //	ADMIN_LOGIN_LOCK      Go duration             (default 15m)
 //	ADMIN_COOKIE_INSECURE "1" disables Secure flag (dev only)
+//	ADMIN_TRUSTED_DEVICE_TTL Go duration          (default 720h = 30d; 0 disables)
 func FromEnv() (*Config, error) {
 	c := &Config{
 		Listen:            getEnvDefault("ADMIN_LISTEN", "127.0.0.1:9443"),
@@ -73,6 +80,14 @@ func FromEnv() (*Config, error) {
 		LoginFailMax:      5,
 		LoginLockDuration: 15 * time.Minute,
 		CookieSecure:      os.Getenv("ADMIN_COOKIE_INSECURE") != "1",
+		TrustedDeviceTTL:  30 * 24 * time.Hour,
+	}
+	if v := os.Getenv("ADMIN_TRUSTED_DEVICE_TTL"); v != "" {
+		d, err := time.ParseDuration(v)
+		if err != nil {
+			return nil, fmt.Errorf("config: ADMIN_TRUSTED_DEVICE_TTL %q invalid: %w", v, err)
+		}
+		c.TrustedDeviceTTL = d
 	}
 
 	if err := validateListen(c.Listen); err != nil {