feat(system): 完成后端系统管理（审计/角色/操作日志/日志查询）

- 操作日志审计机制：audit 上下文（成功与失败都记、独立提交、操作人标量
  固化、commit 后查询前置约定），用户/角色全部写操作接入；request_data
  按键名的结构化脱敏 + UTF-8 字节边界截断
- 角色管理：CRUD 与启停；admin 禁删禁停、有绑定禁删（FOR UPDATE 锁行）、
  编码创建后不可改、停用角色不可再分配
- 日志查询：操作/登录两端点，列表与详情两段式（详情含已脱敏请求参数）；
  时间参数统一转本地 naive（修混用时区 500 与偏移丢弃）
- 用户管理：补齐 reset_password 操作人、编辑空串归一 NULL、并发唯一键兜底 400
- 测试 301 例全绿（单元 223 / 集成 78）

Co-Authored-By: Claude Code <noreply@anthropic.com>

backend/app/models/operation_log.py

@@ -21,6 +21,7 @@ USERNAME_MAX_LEN = 64
 MODULE_MAX_LEN = 64
 ACTION_MAX_LEN = 32
 SUMMARY_MAX_LEN = 255
+METHOD_MAX_LEN = 8
 PATH_MAX_LEN = 255
 IP_MAX_LEN = 45
 USER_AGENT_MAX_LEN = 255
@@ -73,7 +74,7 @@ class OperationLog(Base):
         String(SUMMARY_MAX_LEN), nullable=False, comment="操作摘要（中文，供人阅读）"
     )
 
-    method: Mapped[str | None] = mapped_column(String(8), comment="HTTP 方法")
+    method: Mapped[str | None] = mapped_column(String(METHOD_MAX_LEN), comment="HTTP 方法")
     path: Mapped[str | None] = mapped_column(String(PATH_MAX_LEN), comment="请求路径")
     ip: Mapped[str | None] = mapped_column(String(IP_MAX_LEN), comment="客户端IP（45位兼容IPv6）")
     user_agent: Mapped[str | None] = mapped_column(