1.0.08

安全与访问控制

• 认证现在默认失败关闭，空的 AUTH_USER / AUTH_PASS 不再代表允许匿名访问
• 新增首次打开时创建管理员账号流程，使用签名 session token，并以哈希形式保存密码
• 未登录时禁止首次媒体库初始化、更新检查、媒体库业务接口，以及部分 Jellyfin 兼容媒体接口
• 前端在首次访问或无痕模式没有 token 时，会停留在登录/初始化界面，不再提前加载媒体库选择界面

文档

• 说明 AUTH_USER / AUTH_PASS 用于预置管理员账号；留空时会进入首次创建管理员账号流程

发布类型

• 应用包级更新；不需要完整 Docker 镜像更新

---