feat: 完善分割工作区导入导出与管理流程

- 新增基于 JWT 当前用户的登录恢复、角色权限、用户管理、审计日志和演示出厂重置后台接口与前端管理页。

- 重串 GT_label 导出和 GT Mask 导入逻辑：导出保留类别真实 maskid，导入仅接受灰度或 RGB 等通道 maskid 图，支持未知 maskid 策略、尺寸最近邻拉伸和导入预览。

- 统一分割结果导出体验：默认当前帧，按项目抽帧顺序和 XhXXmXXsXXXms 时间戳命名 ZIP 与图片，补齐 GT/Pro/Mix/分开 Mask 输出和映射 JSON。

- 调整工作区左侧工具栏：移除创建点/线段入口，新增画笔、橡皮擦及尺寸控制，并按绘制、布尔、导入/AI 工具分组分隔。

- 扩展 Canvas 编辑能力：画笔按语义分类绘制并可自动并入连通选中 mask，橡皮擦对选中区域扣除，优化布尔操作、选区、撤销重做和保存状态联动。

- 优化自动传播时间轴显示：同一蓝色系按传播新旧递进变暗，老传播记录达到阈值后统一旧记录色，并维护范围选择与清空后的历史显示。

- 将 AI 智能分割入口替换为更明确的 AI 元素图标，并同步侧栏、工作区和 AI 页面入口表现。

- 完善模板分类、maskid 工具函数、分类树联动、遮罩透明度、边缘平滑和传播链同步相关前端状态。

- 扩展后端项目、媒体、任务、Dashboard、模板和传播 runner 的用户隔离、任务控制、进度事件与兼容处理。

- 补充前后端测试，覆盖用户管理、GT_label 往返导入导出、GT Mask 校验和预览、画笔/橡皮擦、时间轴传播历史、导出范围、WebSocket 与 API 封装。

- 更新 AGENTS、README 和 doc 文档，记录当前接口契约、实现状态、测试计划、安装说明和 maskid/GT_label 规则。

doc/10-installation.md

@@ -187,6 +187,11 @@ sam_model_config=configs/sam2.1/sam2.1_hiera_t.yaml
 
 app_env=development
 cors_origins=["http://localhost:3000","http://127.0.0.1:3000"]
+jwt_secret_key=change-this-to-a-long-random-production-secret
+access_token_expire_minutes=1440
+default_admin_username=admin
+default_admin_password=123456
+demo_video_path=/home/wkmgc/Desktop/Seg_Server/Data_MyVideo_1.mp4
 EOF
 ```
 
@@ -306,6 +311,10 @@ curl http://localhost:9000/minio/health/live
 admin / 123456
 ```
 
+首次启动会自动创建默认管理员，密码以哈希形式写入 `users` 表；登录返回签名 JWT，业务接口会校验 `Authorization: Bearer <token>`。生产环境必须修改 `jwt_secret_key` 和默认管理员密码。
+
+默认管理员登录后会看到“用户管理”后台，可新增用户、停用/启用用户、修改角色、重置密码、删除无项目用户并查看登录与用户管理审计日志。角色分为 `admin`、`annotator`、`viewer`：`admin/annotator` 可以执行写入类业务操作，`viewer` 只读。演示部署可在该后台使用“恢复演示出厂设置”，二次确认后只保留默认 admin 和一个尚未生成帧的演示视频项目；该视频来自 `demo_video_path`。
+
 ---
 
 ## 10. 一键启动脚本
@@ -471,7 +480,7 @@ python -m pytest backend/tests
 4. 在项目库点击“生成帧”，选择 FPS。
 5. Dashboard 中应看到任务进度；Celery 日志应显示拆帧任务。
 6. 进入分割工作区，能看到帧、时间轴和画布。
-7. 手工画一个多边形 mask，点击“结构化归档保存”。
+7. 手工画一个多边形 mask，确认顶栏保存状态按钮显示“保存 1 个改动”，点击保存。
 8. 刷新工作区后，已保存标注应回显。
 9. AI 智能分割中选择可用 SAM 2.1 模型，放置点或框，执行分割。
 10. 导出 JSON 或 PNG Mask ZIP。