feat: 新增管理后台前端项目及安全加固

refactor(saas): 重构认证中间件与限流策略
- 登录限流调整为5次/分钟/IP
- 注册限流调整为3次/小时/IP
- GET请求不计入限流

fix(saas): 修复调度器时间戳处理
- 使用NOW()替代文本时间戳
- 兼容TEXT和TIMESTAMPTZ列类型

feat(saas): 实现环境变量插值
- 支持${ENV_VAR}语法解析
- 数据库密码支持环境变量注入

chore: 新增前端管理界面
- 基于React+Ant Design Pro
- 包含路由守卫/错误边界
- 对接58个API端点

docs: 更新安全加固文档
- 新增密钥管理规范
- 记录P0安全项审计结果
- 补充TLS终止说明

test: 完善配置解析单元测试
- 新增环境变量插值测试用例

crates/zclaw-saas/src/main.rs

@@ -217,7 +217,7 @@ async fn build_router(state: AppState) -> axum::Router {
     let protected_routes = zclaw_saas::auth::protected_routes()
         .merge(zclaw_saas::account::routes())
         .merge(zclaw_saas::model_config::routes())
-        .merge(zclaw_saas::relay::routes())
+        // relay::routes() 不在此合并 — SSE 端点需要更长超时，在最终 Router 单独合并
         .merge(zclaw_saas::migration::routes())
         .merge(zclaw_saas::role::routes())
         .merge(zclaw_saas::prompt::routes())
@@ -247,9 +247,28 @@ async fn build_router(state: AppState) -> axum::Router {
         .merge(protected_routes)
         .layer(TimeoutLayer::new(std::time::Duration::from_secs(15)));
 
+    // Relay 路由需要独立的认证中间件（因为被排除在 15s 超时层之外）
+    let relay_routes = zclaw_saas::relay::routes()
+        .layer(middleware::from_fn_with_state(
+            state.clone(),
+            zclaw_saas::middleware::api_version_middleware,
+        ))
+        .layer(middleware::from_fn_with_state(
+            state.clone(),
+            zclaw_saas::middleware::request_id_middleware,
+        ))
+        .layer(middleware::from_fn_with_state(
+            state.clone(),
+            zclaw_saas::middleware::rate_limit_middleware,
+        ))
+        .layer(middleware::from_fn_with_state(
+            state.clone(),
+            zclaw_saas::auth::auth_middleware,
+        ));
+
     axum::Router::new()
         .merge(non_streaming_routes)
-        .merge(zclaw_saas::relay::routes())
+        .merge(relay_routes)
         .layer(TraceLayer::new_for_http())
         .layer(cors)
         .with_state(state)