feat(server): P5 基础能力补齐（组织/报销/代办/认证安全）

- 组织/人员/委派对齐：费用类型、部门、员工别名、配置只读与回归脚本（F2/F3/F26/F27/F29/F31/F40）

- 报销单 PATCH/DELETE 与 items CRUD（事务内重算 total_amount）（F4/F5）

- 行政代提交/代上传后端校验与审计（F7/F8）

- 认证安全基线：首次登录改密、失败锁定、弱密码拦截与回归脚本（F36/F37/F39/F41）

server/.env.example

@@ -17,6 +17,13 @@ MAX_UPLOAD_SIZE_BYTES="10485760"
 # RATE_LIMIT_LOGIN_MAX="10"
 # RATE_LIMIT_LOGIN_WINDOW="1 minute"
 
+# ===== 登录安全（失败锁定/弱密码拦截）=====
+# AUTH_LOGIN_FAIL_WINDOW_SECONDS="900"   # 15min
+# AUTH_LOGIN_FAIL_MAX_ATTEMPTS="5"
+# AUTH_LOGIN_LOCK_SECONDS="1800"        # 30min
+# WEAK_PASSWORD_CHECK_ENABLED="true"
+# WEAK_PASSWORD_MIN_SCORE="2"           # zxcvbn score < 2 -> reject
+
 DELEGATION_REVOKE_CRON="0 * * * *"
 
 OCR_PROVIDER="off"