fix(认证): 原子更新登录限流并统一凭据校验耗时

将失败计数与过期时间放入同一 Redis 事务，避免永久锁定。
不存在的账号执行同成本哈希校验，登录测试强制读取环境口令。

frontend/e2e/login_flow.py

@@ -38,9 +38,11 @@ from common import (
 )
 
 USERNAME = "admin"
-# 与 system_management 同一约定：开发库 admin 密码从环境变量传入（各库不同，
-# 硬编码会在他机上假绿为「凭据错误」），缺省保留历史默认值兜底本机老库
-PASSWORD = os.environ.get("E2E_ADMIN_PASSWORD", "Admin@2026")
+# 与 system_management 同一约定：开发库 admin 密码只能从环境变量传入。
+# 不保留仓库内默认值，避免历史开发口令随代码扩散或在误用旧库时直接登录。
+PASSWORD = os.environ.get("E2E_ADMIN_PASSWORD")
+if not PASSWORD:
+    raise SystemExit("请先设置 E2E_ADMIN_PASSWORD，脚本不再提供默认管理员密码")
 
 
 def run(page: Page) -> None: