feat(server): 完成 P0+P1 后端能力（工作流、RBAC、付款归档）

P0 MVP：

- 认证：login/refresh/logout/forgot/reset + tokenVersion

- RBAC：角色到权限映射 + requirePermission

- 发票池：upload/bind/signed-url + 判重（VALID_003/VALID_005）

- 报销：create/view/submit + 单号生成

- 工作流：approve + department_manager 解析

P1 扩展：

- 动作：reject/return/withdraw（含 comment）

- transfer：任务转审 + 链路上限 3

- pay：approved -> paid + 发票归档 used_complete

- 动态审批链：approval_rules 驱动

回归脚本：

- smoke-test.sh / regression-dedup.sh / regression-workflow-actions.sh

server/src/utils/passwordPolicy.js

@@ -0,0 +1,21 @@
+function validatePassword(password) {
+  const errors = [];
+
+  if (typeof password !== "string" || password.length < 12) {
+    errors.push("密码长度必须 ≥ 12");
+  }
+  if (!/[a-z]/.test(password)) {
+    errors.push("密码必须包含小写字母");
+  }
+  if (!/[A-Z]/.test(password)) {
+    errors.push("密码必须包含大写字母");
+  }
+  if (!/[0-9]/.test(password)) {
+    errors.push("密码必须包含数字");
+  }
+
+  return errors;
+}
+
+module.exports = { validatePassword };
+