首次使用请创建本地管理员。口令经 PBKDF2-SHA256 加密后保存在服务器 data/auth.json，不存明文、不进数据库。
服务器本地校验，不经过第三方
保存后写入服务器 data/state.json，换浏览器数据仍在。
背景、Logo、标题写入服务器，所有浏览器共享。
新密码加密后覆盖 data/auth.json。