feat(security): 移除 admin123 硬编码默认密码 + 编译加 -trimpath

安全加固（降低二进制泄露/逆向的信息面）：

1. 初始密码随机化
   - 首次启动生成 16 位随机密码（大小写+数字，排除 0/O/1/l/I 易混淆字符）
   - 写入数据卷 initial-admin-password.txt（0600）并打印到首次启动日志
   - admin 首次改密后自动删除该文件（seed.CleanupInitPassword）
   - 支持 ADMIN_INIT_PASSWORD 环境变量指定（自动化部署 / 固定密码场景）
   - 生成失败直接 Fatal 退出，不再降级到公开默认口令

2. 移除硬编码 admin123
   - main.go 不再打印 "Default login: admin / admin123"
   - 二进制内 admin123 命中：2 → 0

3. -trimpath
   - build.sh / run.sh 编译加 -trimpath
   - 二进制内 /app/backend/ 源码路径命中：66 → 0

4. 文档
   - README 新增「第 4 步：获取管理员初始密码」
     （docker compose exec / logs / docker cp / named volume 四种方式 + K8s 对应命令）
   - .env.example 补 ADMIN_INIT_PASSWORD
   - kubernetes/deployment.yaml 加 env 注释说明

验证（strings 对比加固前后二进制）：
  admin123              2 → 0
  /app/backend/        66 → 0
  initial-admin-password.txt / ADMIN_INIT_PASSWORD / CleanupInitPassword 均存在

backend/controllers/auth.go

@@ -4,6 +4,7 @@ import (
 	"opsxloki/dto"
 	"opsxloki/models"
 	"opsxloki/pkg/jwt"
+	"opsxloki/seed"
 	"opsxloki/services"
 	"opsxloki/utils"
 
@@ -97,5 +98,9 @@ func (ctrl *AuthController) ChangePassword(c *gin.Context) {
 		utils.Error(c, 400, err.Error())
 		return
 	}
+	// admin 首次改密后删除初始密码明文文件（幂等，非 admin 不触发）
+	if claims.Username == "admin" {
+		seed.CleanupInitPassword()
+	}
 	utils.Success(c, gin.H{"message": "password changed"})
 }