口令以 PBKDF2-SHA256 摘要存放于 config/web.env（权限 600），不明文落盘。
连续 5 次输错会锁定 15 分钟。