feat(server): 试运行部署与运营基线（E13/E14/E17/E19/E20/E21）

- 增加 deploy/trialrun：Docker Compose + env 模板 + runbook + 发布/回滚 checklist

- 新增 DB/文件存储备份恢复脚本（backup/restore）

- 新增 system.users 运营接口：创建/启用禁用/重置密码/分配角色 + 审计

- 新增 seed:trialrun 引导管理员账号（一次性口令）

- 补齐 SIGTERM/SIGINT 优雅停机（关闭 job/HTTP/DB）

deploy/trialrun/.env.example

@@ -0,0 +1,60 @@
+## hyb-oa 试运行环境变量示例（单机）
+##
+## 使用方式：
+##   cp deploy/trialrun/.env.example deploy/trialrun/.env
+##   然后按需修改 deploy/trialrun/.env 中的值（不要提交 .env）
+##
+
+# ===== 基础域名（用于 refresh cookie 的 origin 校验）=====
+# 单域托管模式下，前端与后端同域访问（建议生产/试运行）。
+APP_ORIGIN="http://127.0.0.1:3000"
+
+# ===== 服务端密钥（必须修改）=====
+JWT_SECRET="change_me_in_trialrun"
+
+# ===== 数据库（Compose 内部连接）=====
+POSTGRES_DB="hyb_oa"
+POSTGRES_USER="hyboa_user"
+POSTGRES_PASSWORD="hyboa_password"
+DATABASE_URL="postgresql://hyboa_user:hyboa_password@db:5432/hyb_oa?schema=public"
+
+# ===== 存储（票据上传目录）=====
+# 在 deploy/trialrun/docker-compose.yml 中映射到宿主机 deploy/trialrun/data/storage
+STORAGE_DIR="/data/storage"
+
+# ===== 单域托管 client/dist =====
+SERVE_CLIENT_DIST="true"
+CLIENT_DIST_DIR="../client/dist"
+
+# ===== 网络与端口 =====
+HOST="0.0.0.0"
+PORT="3000"
+
+# ===== Cookie 安全（HTTPS 反代时建议 true）=====
+COOKIE_SECURE="false"
+
+# ===== 安全基线（试运行建议打开）=====
+RATE_LIMIT_ENABLED="true"
+RATE_LIMIT_LOGIN_MAX="10"
+RATE_LIMIT_LOGIN_WINDOW="1 minute"
+
+# ===== OCR（试运行可先用 mock）=====
+OCR_PROVIDER="mock"            # off|mock|tencent
+OCR_MAX_ATTEMPTS="3"
+OCR_POLL_CRON="*/5 * * * * *"  # 试运行/演练可用秒级；生产建议分钟级
+OCR_BATCH_SIZE="10"
+OCR_LOCK_TTL_SECONDS="300"
+OCR_TIMEOUT_MS="5000"
+TENCENT_SECRET_ID=""
+TENCENT_SECRET_KEY=""
+TENCENT_OCR_REGION="ap-beijing"
+
+# ===== 委派回收 =====
+DELEGATION_REVOKE_CRON="0 * * * *"
+
+# ===== 试运行引导管理员（E20）=====
+TRIALRUN_ADMIN_EMAIL="[email protected]"
+TRIALRUN_ADMIN_PHONE="13800000000"
+# 留空则首次 seed 自动生成并打印一次性口令
+TRIALRUN_ADMIN_PASSWORD=""
+