feat(admin): 后台登录支持「记住此设备」(免二次验证 + 保持登录)

常用设备(已在 mTLS 白名单内)每次都要输 TOTP + 30 分钟就掉线,体验差。
新增登录页「记住此设备」勾选:

- 勾选并成功登录(需完整 密码+TOTP)后,签发 30 天设备信任令牌(HttpOnly/
  Secure/SameSite=Strict cookie,Redis 存储绑定 admin ID),并把会话延到 30 天
  (持久 cookie + 服务端 TTL,滑动续期按会话自身 TTL)。
- 之后该设备重登只需 用户名+密码,**跳过 TOTP**;会话在有效期内保持登录。

安全不变量(均有测试覆盖):
- 密码永远必验——即便持有效信任令牌,密码错一律拒(只跳过第二因子,不跳过密码);
- 信任令牌绑定 admin,alice 的令牌不能给 bob 免 TOTP;
- 无令牌 + 空 TOTP 一律拒(未记住设备仍强制二次验证);
- 令牌过期/Redis 清空/未知令牌全部 fail-closed 回退到「要 TOTP」;
- TrustedDeviceTTL=0 关闭整功能(勾选无效)。

实现:新增 TrustedStore(Redis, trusted.go);Authenticator.LoginDevice
(旧 Login 保持签名,委托新方法,零行为变化);SessionStore.CreateWithTTL +
Session.TTLSeconds 支持持久会话按自身 TTL 滑动;handler 读 cookie/勾选、
按 Persistent 设长短会话 cookie、下发信任 cookie;登录页加勾选、TOTP 去
required。配置项 ADMIN_TRUSTED_DEVICE_TTL(默认 720h)。

测试:trusted_test(签发/校验/绑定/吊销/过期/禁用)、login_device_test
(跳过TOTP/仍需密码/绑定admin/无令牌需TOTP)、login_device_handler_test
(端到端 勾选→双cookie→凭信任cookie免TOTP、无信任空TOTP 401);
go test ./internal/admin 全绿,go vet 净。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu

server/internal/admin/session.go

@@ -25,6 +25,9 @@ type Session struct {
 	Username  string    `json:"username"`
 	CSRFToken string    `json:"csrf"`
 	CreatedAt time.Time `json:"created_at"`
+	// TTLSeconds, when > 0, overrides the store's default sliding idle TTL for
+	// this session (used by "记住此设备" persistent sessions). 0 = use default.
+	TTLSeconds int64 `json:"ttl_seconds,omitempty"`
 }
 
 // SessionStore persists admin sessions in Redis with a sliding idle TTL.
@@ -41,9 +44,15 @@ func NewSessionStore(rdb *redis.Client, ttl time.Duration) *SessionStore {
 	return &SessionStore{rdb: rdb, ttl: ttl}
 }
 
-// Create starts a new session for the given admin and returns the opaque
-// session id (to be set as the cookie value).
+// Create starts a new session with the store's default sliding idle TTL.
 func (s *SessionStore) Create(ctx context.Context, adminID int64, username string) (string, *Session, error) {
+	return s.CreateWithTTL(ctx, adminID, username, 0)
+}
+
+// CreateWithTTL starts a new session. When ttl > 0 the session uses that TTL
+// (both the initial expiry and the per-request slide) instead of the store
+// default — this is how "记住此设备" keeps a device logged in for e.g. 30 days.
+func (s *SessionStore) CreateWithTTL(ctx context.Context, adminID int64, username string, ttl time.Duration) (string, *Session, error) {
 	sid, err := randToken(32)
 	if err != nil {
 		return "", nil, err
@@ -58,12 +67,24 @@ func (s *SessionStore) Create(ctx context.Context, adminID int64, username strin
 		CSRFToken: csrf,
 		CreatedAt: time.Now().UTC(),
 	}
+	if ttl > 0 {
+		sess.TTLSeconds = int64(ttl / time.Second)
+	}
 	if err := s.save(ctx, sid, sess); err != nil {
 		return "", nil, err
 	}
 	return sid, sess, nil
 }
 
+// slideTTL is the TTL to (re)apply to a session: its own override if set,
+// otherwise the store default.
+func (s *SessionStore) slideTTL(sess *Session) time.Duration {
+	if sess != nil && sess.TTLSeconds > 0 {
+		return time.Duration(sess.TTLSeconds) * time.Second
+	}
+	return s.ttl
+}
+
 // Get loads a session and slides its TTL forward. Returns (nil, nil) when the
 // session is absent or expired.
 func (s *SessionStore) Get(ctx context.Context, sid string) (*Session, error) {
@@ -81,8 +102,8 @@ func (s *SessionStore) Get(ctx context.Context, sid string) (*Session, error) {
 	if err := json.Unmarshal(val, &sess); err != nil {
 		return nil, fmt.Errorf("admin.SessionStore.Get unmarshal: %w", err)
 	}
-	// Slide the idle timeout.
-	if err := s.rdb.Expire(ctx, sessionKeyPrefix+sid, s.ttl).Err(); err != nil {
+	// Slide the idle timeout (persistent sessions slide by their own TTL).
+	if err := s.rdb.Expire(ctx, sessionKeyPrefix+sid, s.slideTTL(&sess)).Err(); err != nil {
 		return nil, fmt.Errorf("admin.SessionStore.Get expire: %w", err)
 	}
 	return &sess, nil
@@ -101,7 +122,7 @@ func (s *SessionStore) save(ctx context.Context, sid string, sess *Session) erro
 	if err != nil {
 		return fmt.Errorf("admin.SessionStore.save: %w", err)
 	}
-	if err := s.rdb.Set(ctx, sessionKeyPrefix+sid, b, s.ttl).Err(); err != nil {
+	if err := s.rdb.Set(ctx, sessionKeyPrefix+sid, b, s.slideTTL(sess)).Err(); err != nil {
 		return fmt.Errorf("admin.SessionStore.save set: %w", err)
 	}
 	return nil