feat(server): P5 基础能力补齐（组织/报销/代办/认证安全）

- 组织/人员/委派对齐：费用类型、部门、员工别名、配置只读与回归脚本（F2/F3/F26/F27/F29/F31/F40）

- 报销单 PATCH/DELETE 与 items CRUD（事务内重算 total_amount）（F4/F5）

- 行政代提交/代上传后端校验与审计（F7/F8）

- 认证安全基线：首次登录改密、失败锁定、弱密码拦截与回归脚本（F36/F37/F39/F41）

server/src/config.js

@@ -1,6 +1,7 @@
 const path = require("node:path");
 
 const ONE_DAY_SECONDS = 24 * 60 * 60;
+const ONE_MINUTE_SECONDS = 60;
 
 function requiredEnv(name) {
   const value = process.env[name];
@@ -39,6 +40,12 @@ function getConfig() {
 
     devShowPasswordResetCode: process.env.DEV_SHOW_PASSWORD_RESET_CODE === "true",
 
+    loginFailWindowSeconds: Number(
+      process.env.AUTH_LOGIN_FAIL_WINDOW_SECONDS ?? 15 * ONE_MINUTE_SECONDS,
+    ),
+    loginFailMaxAttempts: Number(process.env.AUTH_LOGIN_FAIL_MAX_ATTEMPTS ?? 5),
+    loginLockSeconds: Number(process.env.AUTH_LOGIN_LOCK_SECONDS ?? 30 * ONE_MINUTE_SECONDS),
+
     appTimezone: process.env.APP_TIMEZONE ?? "Asia/Shanghai",
     storageDir: path.resolve(serverRoot, storageDir),
     serveClientDist: process.env.SERVE_CLIENT_DIST === "true",