修复：鉴权、加密与登录流程的多项安全与体验问题

[BAJJDY]

问题

1. 禁用用户的已签发 JWT 仍然有效
   authUserFromReq() 只校验用户是否存在，未检查 disabled 字段，与
   middlewares.ts 的 getUserFromContext() 行为不一致。管理员禁用某个账号
   （例如游客用户）后，该账号此前已签发的 JWT 仍然可用，最长持续到其
   exp（默认 7 天）。

2. /me 对禁用账号返回笼统的 Unauthorized
   前端拿到 401 Unauthorized 无法区分「未登录」与「账号被禁用」，只能统一
   弹一个 Unauthorized 提示。

修复

• authUserFromReq() 增加 disabled 判断，与 middlewares.ts 对齐：

  -  if (!user) return null
  +  if (!user || user.disabled) return null

• meHandler() 在账号被禁用时返回可区分的消息（未登录仍为 Unauthorized）：

----diff-----
  -  message: "Unauthorized",
  +  message: !user ? "Unauthorized" : "Account is disabled",

影响面

• 禁用账号的 token 立即失效，不再有最长 7 天的宽限期；
• 未登录 / 正常登录路径行为不变；
• 前端可据 Account is disabled 做差异化提示（前端改动另行 PR）。

验证

•  创建游客用户并签发 token → 管理员禁用该用户 → 用旧 token 请求受保护接口 → 返回 401；
•  未登录请求 /me → 仍返回 Unauthorized；
•  正常用户请求 /me → 行为不变。

---
### 标题

fix(login): respect allow_guest, make settings reactive, and resume session

### 描述内容

```markdown
## 问题与修复（共 3 项，均在登录页）

### 1. 游客登录按钮在 `allow_guest=false` 时仍无条件渲染

登录页的「以游客身份浏览」按钮**无条件渲染**，后台关闭游客后依然显示。
现用 `<Show when={getSettingBool("allow_guest")}>` 包裹；同时把游客登录后的
跳转从 `searchParams.redirect || base_path` 收敛为 `base_path || "/"`，避免
游客被带到未授权页面。

```diff
-  <Button w="$full" colorScheme="accent" onClick={...}>
-    {t("login.use_guest")}
-  </Button>
+  <Show when={getSettingBool("allow_guest")}>
+    <Button w="$full" colorScheme="accent" onClick={...}>
+      {t("login.use_guest")}
+    </Button>
+  </Show>

2. 游客开关变更后登录页不生效（settings 非响应式）

store/settings.ts 用普通模块级对象存设置，getSetting() 不建立响应式依赖；
且退出登录是纯 SPA 跳转（Header.tsx 的 to("/@login?...")），登录页只
拿到 App 启动时的快照。因此管理员禁用游客后，登录页仍显示游客入口，直到整页
刷新才更新。

修复：

• settings 改用 createSignal，setSettings 改为合并更新，使每次

getSetting() 读取都建立响应式依赖；

• 新增 refreshSettings() 重拉 /public/settings；
• 登录页挂载时调用 refreshSettings()，拉取失败时静默保留旧值、不阻塞登录。

3. 已登录用户误入登录页时需重新输入账号密码

已登录（本地有有效 token）的用户若进入登录页并点击「登录」，会再次要求输入
账号密码。新增 TryResumeSession()：先探测本地 token 是否有效
（GET /me）——

• 有效 → 直接按 redirect / base_path / "/" 跳回主页面（等价于刷新后的正常

登录态）；

• 无效 → 清除过期 token，继续走原有账号密码 / WebAuthn 流程。

验证

•  后台关闭 allow_guest → 登录页不再显示游客入口（无需整页刷新）；
•  后台开启 allow_guest → 游客入口恢复显示；
•  已登录状态访问 @login 并点击登录 → 直接跳回主页面，不再要求密码；
•  token 失效后进入登录页点击登录 → 正常走账号密码流程。