feat: add password recovery flow (#358)

docs/content/docs/backend/backend-database.mdx

@@ -17,6 +17,16 @@ description: 影策后端核心持久化表与状态边界
 
 当前结构版本为 2。版本 2 为 `schema_migrations.applied_at` 增加 `idx_schema_migrations_applied_at` 索引，用于验证在线更新中的顺序迁移、事务提交和版本健康检查。
 
+## 账号认证与密码找回
+
+| 表 | 用途 | 关键边界 |
+| --- | --- | --- |
+| `users` | 保存用户名、唯一非空邮箱、本地密码哈希、角色和状态 | 密码只保存 bcrypt 哈希；密码找回只面向状态正常且已有本地密码的账号 |
+| `auth_sessions` | 保存登录 Cookie 对应的服务端会话和令牌哈希 | 密码重置成功时删除该用户全部会话，旧 Cookie 立即失效 |
+| `email_verification_codes` | 保存注册和密码重置的一次性邮箱验证码 | 只保存带用途隔离的 HMAC 哈希；验证码 10 分钟过期、只能消费一次，明文不进入数据库 |
+
+密码重置在单个数据库事务中条件消费 `password_reset` 验证码、更新 `users.password_hash` 并删除 `auth_sessions`。任一步失败都会回滚，不能出现密码已修改但旧会话仍有效，或验证码已消耗但密码未更新的部分状态。
+
 ## 技能包与版本
 
 | 表 | 用途 | 关键边界 |

docs/content/docs/overview/features.mdx

@@ -5,6 +5,18 @@ description: 影策当前已实现的核心工作台能力与使用入口
 
 # 功能清单
 
+## 邮箱找回密码
+
+登录页在密码字段标题行提供“忘记密码？”入口。已配置账户邮件服务时，本地密码账号可以通过绑定邮箱获取 6 位验证码，并在 10 分钟内设置新密码；发送接口对存在和不存在的邮箱返回相同结果，避免公开账号状态。
+
+密码更新、验证码消费和该账号全部旧登录会话撤销在同一个数据库事务内完成。验证码按注册与密码重置用途隔离，不能跨流程复用；Linux.do 单点登录账号继续通过原身份提供方登录，不会由找回流程隐式创建本地密码。
+
+### 相关实现
+
+- `web/src/pages/auth/login.tsx`、`web/src/pages/auth/forgot-password.tsx`：登录入口与两阶段邮箱验证界面。
+- `backend/internal/service/password_reset.go`：发送策略、验证码校验和密码重置业务边界。
+- `backend/internal/repository/repository.go`：密码更新、验证码消费和登录会话撤销事务。
+
 ## AI 提示词优化器
 
 提示词优化器是一个内置 AI 能力插件，用于把模糊的生图或生视频想法整理成可以直接使用的提示词。它复用宿主已经配置的文本模型和渠道，不在浏览器中保存或拼接第三方密钥。

docs/content/docs/progress/pending-test.mdx

@@ -5,6 +5,15 @@ description: 影策已实现功能的手工验证清单与未确认边界
 
 # 待测试
 
+## 邮箱找回密码
+
+- [ ] 后端专项测试验证验证码用途隔离、错误和过期验证码拒绝、单次消费、bcrypt 密码更新，以及重置事务撤销全部旧登录会话。
+- [x] 前端专项测试和生产构建验证登录页入口、独立找回路由、验证码倒计时、新密码表单及账户邮件设置文案。
+- [ ] 使用真实 SMTP 账号发送一次注册验证码和一次密码重置验证码，确认发件身份、正文、投递结果和 10 分钟有效期符合配置。
+- [ ] 在桌面、窄屏和键盘操作下确认“忘记密码？”与密码标签同行右对齐，找回页没有横向溢出，焦点顺序和提示信息清晰。
+- [ ] 使用两个浏览器会话登录同一账号后重置密码，确认两个旧会话都失效，旧密码无法登录且新密码可登录。
+- [ ] 分别使用未知邮箱、禁用账号和 Linux.do-only 账号请求验证码，确认公开响应不泄露账号是否存在或是否可找回。
+
 ## 服务升级运行基础
 
 - 完整架构、状态机、Release 清单、备份和回退边界见 `docs/design/dynamic-update.md`。