feat: OTP首次绑定 + 三端登录修复 + 管理端权限修复 (2026-07-08)

OTP首次绑定:
- 新增统一 OTP 路由 /auth/otp-* (otp.py + router.py)
- 坐席端 OTP 绑定面板 (OtpBindPanel.vue)
- 管理端 OTP 管理列表 (MfaManage.vue)
- agent_login 签发半认证 token 支持首次绑定流程

三端登录修复:
- 坐席/管理端去掉'返回扫码登录'按钮
- 管理端改为二维码始终可见+轮询扫码状态
- 员工端 /itdesk/ 改为 alias 直接服务 H5 (不再301重定向)
- docker-compose 添加 h5 volume 挂载

管理端权限修复:
- 扫码登录改用 get_user_roles() 替代写死 roles=['agent']
- get_user_roles() 增加 agents.role 回退
- 新增 GET /admin/roles/user-roles 端点
- 角色管理页加载用户角色分配数据

文档更新:
- OTP PRD + 系统设计文档
- 故障排查手册 v1.1 (新增6案例)
- nginx 生产基准配置

docker-compose.yml

@@ -64,6 +64,32 @@ services:
         max-size: "10m"
         max-file: "3"
 
+  # --------------------------------------------------------------------------
+  # Neo4j 5 — 知识图谱存储（社区版）
+  # --------------------------------------------------------------------------
+  neo4j:
+    image: neo4j:5-community
+    container_name: wecom_it_neo4j
+    restart: unless-stopped
+    environment:
+      NEO4J_AUTH: neo4j/${NEO4J_PASSWORD}
+      NEO4J_PLUGINS: '["apoc"]'
+    volumes:
+      - neo4j_data:/data
+      - neo4j_logs:/logs
+    healthcheck:
+      test: ["CMD-SHELL", "cypher-shell -u neo4j -p ${NEO4J_PASSWORD} 'RETURN 1'"]
+      interval: 10s
+      timeout: 5s
+      retries: 10
+    networks:
+      - it-desk-internal
+    logging:
+      driver: "json-file"
+      options:
+        max-size: "10m"
+        max-file: "3"
+
   # --------------------------------------------------------------------------
   # FastAPI 后端 — 核心业务服务
   # --------------------------------------------------------------------------
@@ -84,7 +110,8 @@ services:
       # 数据库（Docker 内部网络，用容器名通信）
       - DATABASE_URL=postgresql://${POSTGRES_USER:-wecom}:${POSTGRES_PASSWORD:-wecom_secret}@postgres:5432/${POSTGRES_DB:-wecom_it_desk}
       # Redis（Docker 内部网络）
-      - REDIS_URL=redis://redis:6379/0
+      # Redis URL - 密码中的特殊字符需要URL编码 (#→%23)
+      - REDIS_URL=redis://:R3d%21s%402026%23Secure@redis:6379/0
       # CORS
       - CORS_ORIGINS=${CORS_ORIGINS:-http://itsupport.servyou.com.cn}
       # AI 服务（Dify）
@@ -95,6 +122,13 @@ services:
       - DIFY_WINGMAN_API_URL=${DIFY_WINGMAN_API_URL:-}
       - DIFY_WINGMAN_API_KEY=${DIFY_WINGMAN_API_KEY:-}
       - DIFY_WINGMAN_TIMEOUT=${DIFY_WINGMAN_TIMEOUT:-30}
+      # Neo4j 知识图谱
+      - NEO4J_URI=${NEO4J_URI:-bolt://neo4j:7687}
+      - NEO4J_USER=${NEO4J_USER:-neo4j}
+      - NEO4J_PASSWORD=${NEO4J_PASSWORD}
+      - NEO4J_DATABASE=${NEO4J_DATABASE:-neo4j}
+      - NEO4J_MAX_CONNECTION_LIFETIME=${NEO4J_MAX_CONNECTION_LIFETIME:-3600}
+      - NEO4J_MAX_CONNECTION_POOL_SIZE=${NEO4J_MAX_CONNECTION_POOL_SIZE:-50}
       # Mock 登录（生产环境默认关闭，如需临时调试请在 .env 中显式设置为 true）
       - MOCK_LOGIN_ENABLED=${MOCK_LOGIN_ENABLED:-false}
       # 服务配置
@@ -109,6 +143,8 @@ services:
         condition: service_healthy
       redis:
         condition: service_healthy
+      neo4j:
+        condition: service_healthy
     command: >
       /bin/sh -c "
       echo '>>> 启动 API 服务 (跳过迁移)...' &&
@@ -175,5 +211,9 @@ volumes:
     name: wecom_it_postgres_data
   redis_data:
     name: wecom_it_redis_data
+  neo4j_data:
+    name: wecom_it_neo4j_data
+  neo4j_logs:
+    name: wecom_it_neo4j_logs
   backend-uploads:
     name: wecom_it_backend_uploads