fix(security): Q2 Chunk 1 — 密钥外部化与启动强制检查

- default.toml 敏感值改为占位符，强制通过环境变量注入
- 启动时拒绝默认 JWT 密钥和数据库 URL
- 移除 super_admin_password 硬编码 fallback
- 移除 From<AppError> for AuthError 反向映射，5 处调用点改为显式 map_err
- .gitignore 添加 .test_token 和测试产物

crates/erp-auth/src/module.rs

@@ -147,7 +147,12 @@ impl ErpModule for AuthModule {
         _event_bus: &EventBus,
     ) -> AppResult<()> {
         let password = std::env::var("ERP__SUPER_ADMIN_PASSWORD")
-            .unwrap_or_else(|_| "Admin@2026".to_string());
+            .map_err(|_| {
+                tracing::error!("环境变量 ERP__SUPER_ADMIN_PASSWORD 未设置，无法初始化租户认证");
+                erp_core::error::AppError::Internal(
+                    "ERP__SUPER_ADMIN_PASSWORD 未设置".to_string(),
+                )
+            })?;
         crate::service::seed::seed_tenant_auth(db, tenant_id, &password)
             .await
             .map_err(|e| erp_core::error::AppError::Internal(e.to_string()))?;