Add admin login session flow

README.md

@@ -22,10 +22,10 @@ go run ./cmd/zhanlu-proxy
 http://127.0.0.1:8080
 ```
 
-打开登录页：
+打开首页会自动跳转到管理登录页：
 
 ```text
-http://127.0.0.1:8080/login
+http://127.0.0.1:8080/
 ```
 
 ## systemd 服务示例
@@ -52,6 +52,7 @@ ZHANLU_UPSTREAM_PATH=/api/acepilot/zhanlu/aiDeveloper/chat
 ZHANLU_MODELS=glm47,minimax-m25
 ZHANLU_DEFAULT_MODEL=minimax-m25
 ZHANLU_UPSTREAM_TIMEOUT=300s
+ZHANLU_LOGIN_PASSWORD=change-this-login-password
 OPENAI_COMPAT_API_KEY=change-this-local-secret
 ```
 
@@ -97,6 +98,8 @@ journalctl -u zhanlu-proxy -f
 
 打开 `/login` 后输入手机号并点击“获取验证码”。实现按插件默认登录分支工作：
 
+如果设置了 `ZHANLU_LOGIN_PASSWORD`，`/login` 只负责管理密码登录。密码正确后服务会设置 HttpOnly 会话 Cookie，并跳转到 `/admin/login`。`/admin/login` 才是手机号验证码登录湛卢的页面，之后才能查看凭据状态、获取短信验证码、保存凭据或使用备用 SSO 管理接口。
+
 - 生成 16 位一次性 `secret`。
 - 使用插件内置 RSA 公钥加密手机号和 `secret`。
 - 调用公网接口 `/api/query/acepilot-h5/manager/code/getAuthCode` 发送验证码。
@@ -191,6 +194,7 @@ curl http://127.0.0.1:8080/v1/models `
 | `ZHANLU_DEFAULT_MODEL` | `minimax-m25` | 请求未传 `model` 时使用的默认模型 |
 | `ZHANLU_UPSTREAM_TIMEOUT` | `300s` | 上游请求超时 |
 | `ZHANLU_STREAM_IDLE_TIMEOUT` | `300s` | 预留的流式空闲超时配置 |
+| `ZHANLU_LOGIN_PASSWORD` | 空 | `/login` 管理页面密码；设置后登录成功跳转到 `/admin/login` 管理湛卢凭据 |
 | `ZHANLU_DEBUG` | `false` | 调试模式，错误信息更详细但会脱敏敏感 query |
 | `OPENAI_COMPAT_API_KEY` | 空 | 本地 OpenAI 兼容接口鉴权 key |
 
@@ -207,6 +211,7 @@ curl http://127.0.0.1:8080/v1/models `
 
 - `credentials.json` 包含明文 `AccessKey`、`SecretKey`、`Token`，请不要提交到仓库。
 - 默认保存在当前执行目录的 `credentials.json`。
+- 建议设置 `ZHANLU_LOGIN_PASSWORD`，避免公网暴露的 `/admin/login` 被直接访问。
 - 错误响应默认不会返回签名 URL，避免泄露 `AccessKey`、`authorization`、`Signature`。
 - `ZHANLU_DEBUG=true` 时会返回更详细错误，但仍会对敏感 query 参数脱敏。