fix: 终审修复——站点停用接线/prefix查重补创建reset/默认凭据警示+取舍补录

- I-1 站点停用全链接线: Site 数据类加 status 字段; DB 源 _load_one 与
  文件源 read_tenant 均只输出 active 站点(停用站点域名不进 registry
  索引 → 该域名 404;全停用=合法运营状态输出空 sites;文件源无 status
  键默认 active 兼容)。E2E: PATCH 站点 disabled → 其域名 404、复启用
  恢复;源级直测两源过滤。
- I-3 prefix 跨租户查重补两口: db.other_push_prefixes 共用助手
  (MAX(version) 逐租户当前前缀,排除自身);创建向导(出厂档案前缀被占
  → 400 提示改 blank/改占用方)与 reset push(重置回出厂撞车 → 400 提示
  走 PUT)接入;PUT 原有查重改用同一助手。rollback 维持豁免(历史不可变
  语义优先,取舍清单记档)。既有测试第二租户改 blank profile 避撞。
- I-4 默认凭据警示: lifespan 启动检测 ADMIN_PASSWORD 仍为 Settings 字段
  默认值(非硬编码第二份,防双源漂移)→ logger.warning 醒目提示;
  CLAUDE.md Phase 4 部署记档补 ADMIN_PASSWORD 生产要求。
- I-2/M-2 取舍补录: 密钥掩码未实现(GET config/settings 明文返回
  api_key/smtp 密码,Phase 3 前须定 __SET__ 哨兵方案);站点管理权限现为
  仅超管(Phase 3 对接时决策放开或改 spec);取舍清单第 2 条同步刷新
  (rollback 现为唯一豁免口)。

全量回归: 571 passed(基线 566 + 新增 5)。

Co-Authored-By: Claude Code <noreply@anthropic.com>

CLAUDE.md

@@ -77,7 +77,7 @@
 **实现取舍（API 冻结 / Phase 3 前端对接前须知）**：
 
 1. **PUT config 整组替换语义**——前端必须整组读-改-写（Task 6；做部分更新需先 GET 全组再改再 PUT）。
-2. **rollback 绕过 prefix 跨租户查重**（域名类校验只在 PUT 路径）——如需收口，在 rollback 前补跑查重。
+2. **rollback 仍绕过 prefix 跨租户查重**（终审 I-3 已收口 PUT/创建向导/reset 三口；rollback 单独保留豁免 = 历史不可变语义优先——回滚到含已占前缀的历史版本属数据修复场景；如仍需收口，在 rollback 前补跑查重）。
 3. **并发保存同租户撞 UNIQUE → 500**（单管理员场景可接受；收口 = 捕 IntegrityError 转 409）。
 4. **统计 API 无 `?site=` 筛选**（spec §7.6 提及；Phase 3 前端需要时补）。
 5. **登录限流反代形态退化为按用户名**（限流键 username + request.client.host，无 XFF 解析；可信代理解析归部署批次）。
@@ -86,6 +86,8 @@
 8. **400（预检撞车）vs 409（竞态 IntegrityError）并存**——API 冻结前统一。
 9. **limiter 全量清扫**（token/登录限流的内存键永不回访，长跑进程缓慢累积；收口 = 定期清扫）。
 10. **lead_push_service 的 settings re-export 锚**（app.engine.config 的 settings 在 lead_push_service 顶部 re-export，22 处测试 monkeypatch 依赖此锚——改动前先迁测试）。
+11. **密钥掩码未实现**——GET config/settings 返回明文 api_key/smtp 密码；Phase 3 前端对接前必须定掩码哨兵方案（GET 吐 `__SET__` + PUT 收哨兵保留旧值）（出处：终审审查 I-2）。
+12. **站点管理权限现为仅超管**（spec §7.3 写租户管理员同左）——Phase 3 对接时决策放开或改 spec（出处：终审审查 M-2）。
 
 **Phase 3 清理单**（Phase 1/2 审查挂账滚动合并；~~删除线~~ 项已在 Phase 2 完成）：
 
@@ -115,6 +117,7 @@
 - **bootstrap_platform.py 用法**：`PYTHONUTF8=1 python scripts/bootstrap_platform.py [--db PATH] [--profiles SLUG ...] [--seed DIR]`。两步全幂等：init（schema + 超管引导，凭据取 env/.env 的 ADMIN_USERNAME/ADMIN_PASSWORD）+ 导入出厂租户（默认 auto jiancai 两租户，已有 slug 跳过）；**不建租户管理员**（走后台创建向导补）。
 - **TENANT_SOURCE=db 默认**（生产装配形态）；`file` 为冷备/本地调试回退。
 - **admin 域名反代区分**：`/api/platform/*` 前缀豁免租户 Host 解析——平台后台 API 可与租户聊天域名同源反代（按路径分流）或独立域名，两形态皆可；租户聊天面（`/`、`/static`、WS、`/api/public`、`/api/chat*`）仍严格按 Host 解析租户，未知 Host 404。
+- **ADMIN_PASSWORD 默认值警示**（终审 I-4）：lifespan 启动检测到 ADMIN_PASSWORD 仍是出厂默认（admin123）时打 WARNING 日志——生产部署必须设 ADMIN_PASSWORD 环境变量换掉，且超管首登立即改密（must_change_password 门强制）。
 
 ## 文档索引