feat(security): 默认账号随机初始密码（不再硬编码 admin123）

参考 lokistack 的实现：

1. 首次启动生成 16 位随机密码（大小写+数字，排除 0/O/1/l/I 易混淆字符）
   - 4 个默认账号共用：admin / dba / auditor / developer
   - 写入数据目录 initial-admin-password.txt（0600）
   - 打印到启动日志（含账号列表、密码、文件路径、docker/kubectl 获取命令）

2. 支持 ADMIN_INIT_PASSWORD 环境变量覆盖（自动化部署 / 需要固定密码时）

3. 生成失败直接 log.Fatalf 退出，不降级到公开默认口令

4. 批量导入用户 BatchImportUsers：空密码不再默认 admin123，
   改为随机 14 位（新增 genPassword），保证每个导入用户密码不可预测

5. 幂等：已存在的账号不重建、不改密码；只有缺失的账号才创建

6. imagePullPolicy: IfNotPresent → Always
   原因：latest tag 配 IfNotPresent 会导致节点一直复用缓存的旧镜像，
        新 push 的镜像不生效（本次实测踩到：Pod imageID 仍是旧 digest）

7. 文档
   - README 新增「首次部署获取默认账号密码」章节（含 4 账号角色表 + 3 种获取方式）
   - docker-compose.yml 加 ADMIN_INIT_PASSWORD 环境变量
   - kubernetes/deployment.yaml 加 env 注释

验证（清空 DB 后全新 seed）：
  镜像 sha256:eaf0affd8d93
  /app/data/initial-admin-password.txt  199B  权限 0600
  内容含 "适用账号: [admin dba auditor developer]" + 随机密码
  启动日志完整打印获取方式
  登录实测：admin / dba / developer 用新密码均返回 access_token；
           admin123 登录失败（已失效）
  二进制 strings：admin123 命中 0

README.md

@@ -165,6 +165,54 @@ cd frontend
 npx tsc --noEmit
 ```
 
+## 首次部署获取默认账号密码
+
+首次启动会生成 **16 位随机密码**（不再固定 `admin123`），以下默认账号**共用该密码**：
+
+| 账号 | 角色 | 说明 |
+|------|------|------|
+| `admin` | 超级管理员 | 全权限 |
+| `dba` | DBA管理员 | 数据库实例与变更 |
+| `auditor` | 审计员 | 审核工单 |
+| `developer` | 开发者 | 提交 SQL 工单 |
+
+密码同时：
+- 打印到**启动日志**（仅首次，日志轮转后就没了）
+- 写入数据目录 `initial-admin-password.txt`（权限 `0600`）
+
+### 获取方式（推荐第 1 种）
+
+```bash
+# Docker Compose
+docker compose exec <服务名> cat /app/data/initial-admin-password.txt
+docker compose logs <服务名> | grep -A8 "已创建默认账号"
+docker cp <容器名>:/app/data/initial-admin-password.txt ./
+
+# Kubernetes
+kubectl -n sql exec deploy/opsxsql -- cat /app/data/initial-admin-password.txt
+kubectl -n sql logs deploy/opsxsql | grep -A8 "已创建默认账号"
+kubectl -n sql cp <pod>:/app/data/initial-admin-password.txt ./
+```
+
+### 自定义密码（跳过随机生成）
+
+```bash
+# Docker Compose：部署前设置
+export ADMIN_INIT_PASSWORD='your-strong-password'
+docker compose up -d
+
+# Kubernetes：在 deployment env 中加 ADMIN_INIT_PASSWORD（或用 Secret 注入）
+```
+
+### 说明
+
+| 项 | 说明 |
+|----|------|
+| 幂等 | 已存在同名账号时**不重建、不改密码**；只有缺失的账号才创建 |
+| 生成失败 | 随机密码生成失败时**直接退出**，不降级到公开默认口令 |
+| 轮转 | 本平台暂无自助改密接口；改密请用管理员 `POST /api/v1/users/:id/reset-password` |
+| 清理 | 确认所有账号改密后可删除 `initial-admin-password.txt` |
+
 ## 版本历史
 
 | 版本 | 说明 |