feat: add admin session rbac foundation

WonderQ-Admin/README.md

@@ -18,6 +18,10 @@ Copy-Item .env.example .env
 
 - `DATABASE_URL`：本地 Docker PostgreSQL 默认使用 `localhost:5433`。
 - `JWT_SECRET`：生产环境必须替换为高强度随机值。
+- `REDIS_URL`：管理员会话、Refresh Token 和权限缓存使用的 Redis 地址。
+- `ADMIN_PERMISSION_CACHE_SECONDS`：管理员权限菜单缓存秒数，默认 300。
+- `ADMIN_LOGIN_RATE_LIMIT` / `ADMIN_LOGIN_RATE_WINDOW_SECONDS`：登录限流窗口，默认每个 IP+账号 60 秒最多 5 次。
+- `ADMIN_ACCESS_EXPIRES_MINUTES`、`ADMIN_REFRESH_EXPIRES_DAYS`：管理员访问令牌和刷新令牌有效期。
 - `OSS_ACCESS_KEY_ID`、`OSS_ACCESS_KEY_SECRET`、`OSS_ENDPOINT`、`OSS_BUCKET_NAME`：填写实际 OSS 配置；真实密钥只放在 `.env` 或部署平台密钥中，不提交到 Git。
 
 ### 2. 创建并启用 Python 虚拟环境
@@ -178,6 +182,9 @@ Python 版保留原有核心路径：
 - `GET /api/public/auth/me`
 - `POST /api/public/leads`
 - `POST /api/admin/auth/login`
+- `POST /api/admin/auth/refresh`、`POST /api/admin/auth/logout`
+- `GET /api/admin/system/profile`
+- `/api/admin/system/users`、`/api/admin/system/roles`、`/api/admin/system/menus`、`/api/admin/system/depts`
 - `GET /api/admin/me`
 - `GET /api/admin/dashboard`
 - `GET /api/admin/site-config`