feat: OTP首次绑定 + 三端登录修复 + 管理端权限修复 (2026-07-08)

OTP首次绑定:
- 新增统一 OTP 路由 /auth/otp-* (otp.py + router.py)
- 坐席端 OTP 绑定面板 (OtpBindPanel.vue)
- 管理端 OTP 管理列表 (MfaManage.vue)
- agent_login 签发半认证 token 支持首次绑定流程

三端登录修复:
- 坐席/管理端去掉'返回扫码登录'按钮
- 管理端改为二维码始终可见+轮询扫码状态
- 员工端 /itdesk/ 改为 alias 直接服务 H5 (不再301重定向)
- docker-compose 添加 h5 volume 挂载

管理端权限修复:
- 扫码登录改用 get_user_roles() 替代写死 roles=['agent']
- get_user_roles() 增加 agents.role 回退
- 新增 GET /admin/roles/user-roles 端点
- 角色管理页加载用户角色分配数据

文档更新:
- OTP PRD + 系统设计文档
- 故障排查手册 v1.1 (新增6案例)
- nginx 生产基准配置

nginx/nginx.conf

@@ -65,14 +65,17 @@ http {
     # =================================================================
     server {
         listen 80;
-        server_name _;
+        listen 443 ssl;
+        server_name itsupport.servyou.com.cn;
 
-        # SSL 证书配置（临时禁用，等待证书路径修复）
-        # ssl_certificate /etc/nginx/ssl/itsupport.servyou.com.cn.crt;
-        # ssl_certificate_key /etc/nginx/ssl/itsupport.servyou.com.cn.key;
-        # ssl_protocols TLSv1.2 TLSv1.3;
-        # ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
-        # ssl_prefer_server_ciphers off;
+        # SSL 证书配置（使用通配符证书 *.servyou.com.cn）
+        ssl_certificate /etc/nginx/ssl/servyou.com.cn.crt;
+        ssl_certificate_key /etc/nginx/ssl/servyou.com.cn.key;
+        ssl_protocols TLSv1.2 TLSv1.3;
+        ssl_ciphers HIGH:!aNULL:!MD5;
+        ssl_prefer_server_ciphers on;
+        ssl_session_cache shared:SSL:10m;
+        ssl_session_timeout 1d;
 
         # ------------------------------------------------------------------
         # H5 员工端 — /itdesk/