feat(auth): replace TOTP with phone-first login

README.md

@@ -46,7 +46,7 @@ docs                  # ADR、架构说明和迁移路线
 GET /platform-admin/
 ```
 
-它是功能原型壳，不是正式视觉规范。当前默认连接同源真实 API，并提供平台登录、首次改密和 TOTP MFA 流程；token 只保存在当前浏览器标签的 `sessionStorage`。真实模式不会回退显示 Mock 数据，目前开放概览、租户、员工和审计这组已经落地后端契约的页面，账务、公共题库等页面随对应 API 实现逐步开放。
+它是功能原型壳，不是正式视觉规范。当前默认连接同源真实 API，并提供平台账号密码登录和首次改密流程；token 只保存在当前浏览器标签的 `sessionStorage`。真实模式不会回退显示 Mock 数据，目前开放概览、租户、员工和审计这组已经落地后端契约的页面，账务、公共题库等页面随对应 API 实现逐步开放。
 
 本地首次启动先创建 `tiku` 数据库并执行迁移：
 
@@ -63,7 +63,7 @@ Development 首次迁移会通过 EF Core 官方推荐的 `UseSeeding` / `UseAsy
 初始密码：由 Tiku.DbMigrator 安全随机生成，仅在首次初始化的终端输出一次
 ```
 
-首次登录必须立即修改初始密码并绑定 TOTP MFA。如果丢失首次输出的临时密码，应删除尚无业务数据的本地开发库后重新初始化，不要把密码补写到源码、`appsettings*.json` 或 README。Production 不会自动创建默认管理员，必须使用下文的显式安全引导命令。
+首次登录必须立即修改初始密码；正式密码至少 8 位，并同时包含字母和数字。如果丢失首次输出的临时密码，应删除尚无业务数据的本地开发库后重新初始化，不要把密码补写到源码、`appsettings*.json` 或 README。Production 不会自动创建默认管理员，必须使用下文的显式安全引导命令。
 
 开发环境只隐藏 EF Core 成功 SQL 日志，ORM 警告与错误仍会输出。