feat: FlowStack 发布系统首个可运行版本 (gin + React)

- Go gin 后端：流水线/节点/连线/运行/日志/GitOps/插件 REST API，
  SQLite(GORM) 自动建表 + seed，模拟执行引擎 + SSE 实时日志推送，
  前端产物 go:embed 嵌入单二进制，一个端口同时服务 API 与页面
- React 19 前端：画布式流水线编辑器(React Flow + Tekton 任务库)、
  GitOps 部署、批量发布、发布记录等 14 个模块页面，
  tRPC 全部替换为 REST(TanStack Query)
- 首次启动生成随机密码管理员账号（日志 + data/initial-admin-password.txt）
- run.sh 一键构建启动（默认端口 9527，支持 start/stop/restart/build/dev）

backend/internal/handler/auth.go

@@ -0,0 +1,36 @@
+package handler
+
+import (
+	"net/http"
+
+	"github.com/gin-gonic/gin"
+
+	"flowstack/internal/crypto"
+	"flowstack/internal/database"
+	"flowstack/internal/model"
+)
+
+// Login POST /api/auth/login {username, password}
+func Login(c *gin.Context) {
+	var body struct {
+		Username string `json:"username" binding:"required"`
+		Password string `json:"password" binding:"required"`
+	}
+	if err := c.ShouldBindJSON(&body); err != nil {
+		c.JSON(http.StatusBadRequest, gin.H{"error": "用户名和密码不能为空"})
+		return
+	}
+
+	var user model.User
+	if err := database.DB.Where("username = ?", body.Username).First(&user).Error; err != nil {
+		c.JSON(http.StatusUnauthorized, gin.H{"error": "用户名或密码错误"})
+		return
+	}
+	if !crypto.VerifyPassword(body.Password, user.Password) {
+		c.JSON(http.StatusUnauthorized, gin.H{"error": "用户名或密码错误"})
+		return
+	}
+	c.JSON(http.StatusOK, gin.H{
+		"success": true, "username": user.Username, "nickname": user.Nickname, "role": user.Role,
+	})
+}