feat(server): P5 基础能力补齐（组织/报销/代办/认证安全）

- 组织/人员/委派对齐：费用类型、部门、员工别名、配置只读与回归脚本（F2/F3/F26/F27/F29/F31/F40）

- 报销单 PATCH/DELETE 与 items CRUD（事务内重算 total_amount）（F4/F5）

- 行政代提交/代上传后端校验与审计（F7/F8）

- 认证安全基线：首次登录改密、失败锁定、弱密码拦截与回归脚本（F36/F37/F39/F41）

server/src/utils/passwordPolicy.js

@@ -1,3 +1,5 @@
+const zxcvbn = require("zxcvbn");
+
 function validatePassword(password) {
   const errors = [];
 
@@ -14,8 +16,17 @@ function validatePassword(password) {
     errors.push("密码必须包含数字");
   }
 
+  const weakCheckEnabled = process.env.WEAK_PASSWORD_CHECK_ENABLED !== "false";
+  const weakMinScore = Number(process.env.WEAK_PASSWORD_MIN_SCORE ?? 2);
+
+  if (weakCheckEnabled && typeof password === "string" && password.length >= 1) {
+    const score = zxcvbn(password).score ?? 0;
+    if (score < weakMinScore) {
+      errors.push("密码过于常见/弱");
+    }
+  }
+
   return errors;
 }
 
 module.exports = { validatePassword };
-