新增 reset-password 子命令：免旧口令重设管理员口令并吊销全部会话

docs/design.md

@@ -177,7 +177,7 @@ pure-note/
 │   └── review-round1.md             # 第 1 轮审评报告（修订依据，留档）
 ├── cmd/
 │   └── pure-note/
-│       └── main.go                  # 入口 + 命令行（serve/init/backup/gc/version）
+│       └── main.go                  # 入口 + 命令行（serve/init/reset-password/backup/gc/version）
 ├── internal/
 │   ├── config/                      # 环境变量/flag 解析
 │   ├── store/                       # SQLite 打开、迁移（user_version 上界校验）、DAO
@@ -355,7 +355,8 @@ SecurityHeaders（含 HSTS，§9.2）
 5. **轮换**：活跃访问距过期 < 3 天时重建会话行、旋转 Cookie token，**csrf_token 保持不变**（前端无感）；
 6. **登出**：删除会话行；
 7. **改密**：`POST /api/admin/password` 校验旧密码后写新 PHC 哈希；改密不失效当前会话（可选：改密后删除其他会话——单管理员场景仅本会话，不强制）；
-8. **开发模式**：`--dev` 允许非 Secure Cookie（否则 `__Host-` 在 `http://局域网IP` 下无法登录）；**强制约束：仅当监听地址为 loopback 时允许启动，防止误部署到生产**。
+8. **口令重置（CLI）**：`pure-note reset-password` 免旧口令直接覆盖哈希并**吊销全部会话**——前提是具备服务器访问权限（读写数据目录即可改库，CLI 提供规范入口优于手工改库）；口令来源与 `init` 一致，避免出现在 argv；
+9. **开发模式**：`--dev` 允许非 Secure Cookie（否则 `__Host-` 在 `http://局域网IP` 下无法登录）；**强制约束：仅当监听地址为 loopback 时允许启动，防止误部署到生产**。
 
 ### 7.4 图片上传与访问
 
@@ -377,6 +378,7 @@ SecurityHeaders（含 HSTS，§9.2）
 | --- | --- |
 | `pure-note serve` | 启动；`--addr :8080`、`--data-dir ./data`、`--log-level`、`--log-format text|json`、`--behind-proxy`（声明位于可信反代之后，启用 XFF 处理）、`--dev`（loopback-only，§7.3-8）、`--allow-newer`（跳过 schema 版本上界校验，§10.4）；环境变量：`PN_ADMIN_PASSWORD` |
 | `pure-note init` | 首次初始化：设口令（Argon2id+PHC）、站点标题 |
+| `pure-note reset-password` | 重设管理员口令（覆盖旧哈希）并吊销全部会话；口令来源同 `init`（环境变量 `PN_ADMIN_PASSWORD` 或交互输入，不经 argv 避免 ps 泄露）。CLI 可达即具备服务器权限，允许直接重设 |
 | `pure-note backup [path]` | 在线备份：`VACUUM INTO`（一致快照，不停服）；默认输出 0600 权限 |
 | `pure-note gc` | 回收站过期清除 + 孤儿图片清除 + 会话清理；**默认 `--dry-run`**，`--commit` 才执行（§6.3） |
 | `pure-note version` | 版本号（build 时注入 commit/时间） |