feat: 全站 Ant Design Pro 风格重构 + 登录守卫与角色门户（issue #131/#134）

- 新增 web/shared：pro.css（AntD 5 设计系统，旧 CSS 变量统一映射 AntD 色板）、
  session.js（后端优先+本地账号降级双轨会话，IAOP_AUTH 兼容层）、
  pro-header.js（全站统一 Pro 导航条：logo/页题/用户角色 Tag/退出）
- 门户 web/index.html：未登录跳登录页（next 回跳），登录后按角色过滤
  可见模块（readonly→驾驶舱/助手/移动端；engineer→+配置台；admin→全部）
- 登录页 auth/login.html 重写为 Ant Design Pro 风格，本地降级模式自动
  播种演示账号（admin/engineer/viewer），保留 OIDC SSO 双轨入口
- user_store.js 新增 verify() + seedDefaults() 默认账号播种
- 六模块页统一接入 pro.css + 统一导航条 + 登录守卫（PRD 8.2）
- 驾驶舱主题 dark→light（Ant Design 5 色板）：renderer.py THEME_TOKENS、
  ti-cl4/resin 模板 theme、告警三级配色对齐 AntD（P0 #ff4d4f/P1 #faad14/
  P2 #1677ff），渲染计划已重编（build_plans.py）
- 验证：core/cockpit 86 单测通过；JS 语法检查通过；静态冒烟全 200

web/shared/session.js

@@ -0,0 +1,191 @@
+/* iAOP 全站统一会话层（Ant Design Pro 风格重构，2026-08）。
+ *
+ * 背景：#150 的 auth.js 只对接 core/auth 后端（/auth/login|logout|me），
+ * 后端未部署时登录态完全不可用，门户只能裸奔展示全部模块。
+ * 本文件提供「后端优先 + 本地降级」双轨会话：
+ *   1. 后端可达（同源 /auth/*）→ 走后端 HMAC 会话（HttpOnly cookie）；
+ *   2. 后端不可达（纯静态部署，如 nginx :8090）→ 走 UserStore 本地账号
+ *      （PBKDF2 降级为 salt+SHA-256 的 Demo 级校验，见 user_store.js），
+ *      会话落 localStorage（iaop.session.v1）。
+ * 两种模式下 currentUser() 返回结构一致：{username, role, active}。
+ *
+ * 角色→模块映射（PRD 8.2 三级 RBAC，门户按此过滤可见模块）：
+ *   readonly（Viewer）   : 驾驶舱 / 对话助手 / 移动端
+ *   engineer（Editor）   : + 模板配置台
+ *   admin（Publisher）   : + 管理控制台 / 用户与角色（全部 6 模块）
+ *
+ * 同时导出 window.IAOP_AUTH 兼容层（与 #150 auth.js 同签名），
+ * studio/admin/users 等既有页面无需修改业务代码即可获得本地降级能力。
+ */
+"use strict";
+
+var IAOP_SESSION = (function () {
+  var SESSION_KEY = "iaop.session.v1";
+  var BACKEND_TIMEOUT_MS = 1500; // /auth/* 探测超时，超时即降级本地
+
+  /* ---- 模块注册表（门户卡片 + 访问控制单一数据源） ---------------------- */
+  var MODULES = [
+    { key: "cockpit", title: "配置化驾驶舱", icon: "🚀", url: "cockpit/",
+      desc: "四状态工艺流程视图、实时趋势、KPI 卡片、告警面板、NL 查询（PRD 5.5）",
+      roles: ["readonly", "engineer", "admin"], tag: "只读", tagColor: "default" },
+    { key: "chat", title: "对话助手", icon: "💬", url: "chat/assistant.html",
+      desc: "NL 工艺查询 / 报警智能解释 / 交接班报告生成（PRD 5.4）",
+      roles: ["readonly", "engineer", "admin"], tag: "AI 助手", tagColor: "blue" },
+    { key: "studio", title: "模板配置台", icon: "🧩", url: "studio/",
+      desc: "点位字典导入 / 模型超参 / RAG 知识库 / 布局编排 / 版本发布（PRD 5.7）",
+      roles: ["engineer", "admin"], tag: "可配置", tagColor: "green" },
+    { key: "admin", title: "管理控制台", icon: "⚙️", url: "admin/",
+      desc: "模型管理（版本/阶段/回滚）、知识库管理、告警确认、审计查询",
+      roles: ["admin"], tag: "管理员", tagColor: "gold" },
+    { key: "users", title: "用户与角色", icon: "👤", url: "auth/users.html",
+      desc: "用户管理、角色分配（readonly / engineer / admin）、审计（PRD 8.2）",
+      roles: ["admin"], tag: "管理员", tagColor: "gold" },
+    { key: "mobile", title: "移动端驾驶舱", icon: "📱", url: "mobile/",
+      desc: "移动端只读驾驶舱与交接班摘要（iOS14+ / Android 10+）",
+      roles: ["readonly", "engineer", "admin"], tag: "移动端", tagColor: "default" }
+  ];
+
+  var ROLE_LABELS = { readonly: "Viewer · 只读", engineer: "Editor · 配置",
+                      admin: "Publisher · 管理" };
+  var ROLE_TAG_COLORS = { readonly: "default", engineer: "green", admin: "gold" };
+
+  /* ---- 本地会话存取 ------------------------------------------------------ */
+  function saveSession(user) {
+    try {
+      localStorage.setItem(SESSION_KEY, JSON.stringify({
+        username: user.username, role: user.role,
+        loginAt: new Date().toISOString()
+      }));
+    } catch (e) { /* 隐私模式等场景忽略 */ }
+  }
+  function readSession() {
+    try {
+      var v = localStorage.getItem(SESSION_KEY);
+      return v ? JSON.parse(v) : null;
+    } catch (e) { return null; }
+  }
+  function clearSession() {
+    try { localStorage.removeItem(SESSION_KEY); } catch (e) {}
+  }
+
+  /* ---- 后端探测（带超时） ------------------------------------------------ */
+  function fetchWithTimeout(url, opts) {
+    return new Promise(function (resolve, reject) {
+      var timer = setTimeout(function () { reject(new Error("timeout")); },
+                             BACKEND_TIMEOUT_MS);
+      fetch(url, opts).then(function (r) {
+        clearTimeout(timer); resolve(r);
+      }, function (e) {
+        clearTimeout(timer); reject(e);
+      });
+    });
+  }
+
+  /* ---- 当前登录用户：后端优先，本地会话降级 ------------------------------ */
+  function currentUser() {
+    return fetchWithTimeout("/auth/me", { credentials: "include" })
+      .then(function (r) { return r.ok ? r.json() : null; })
+      .then(function (d) {
+        if (d && d.user) return d.user;
+        throw new Error("no backend session");
+      })
+      .catch(function () {
+        // 后端不可达或无后端会话 → 本地会话降级，并用 UserStore 复核用户仍有效
+        var s = readSession();
+        if (!s || !s.username) return null;
+        if (typeof UserStore === "undefined") return s; // 无存储层时信任会话
+        var u = UserStore.find(s.username);
+        if (!u || !u.active) { clearSession(); return null; }
+        return { username: u.username, role: u.role, active: u.active };
+      });
+  }
+
+  /* ---- 登录：后端优先，本地账号降级 -------------------------------------- */
+  function login(username, password) {
+    return fetchWithTimeout("/auth/login", {
+      method: "POST",
+      credentials: "include",
+      headers: { "Content-Type": "application/json" },
+      body: JSON.stringify({ username: username, password: password })
+    }).then(function (r) {
+      if (r.ok) return r.json().then(function (d) {
+        saveSession(d.user);
+        return d.user;
+      });
+      // 后端在线但拒绝（401 等）：是真实鉴权失败，不降级
+      return r.json().then(function (d) {
+        throw new Error((d && d.error) || "用户名或密码错误");
+      });
+    }).catch(function (e) {
+      if (e && e.message && e.message !== "timeout" &&
+          e.message !== "no backend session" &&
+          e.message !== "Failed to fetch" &&
+          e.name !== "TypeError" && !/fetch/i.test(e.message || "")) {
+        throw e; // 后端鉴权失败，直接抛
+      }
+      // 后端不可达 → 本地账号校验
+      if (typeof UserStore === "undefined") {
+        throw new Error("认证服务不可用，且本地账号存储未加载");
+      }
+      return UserStore.seedDefaults().then(function () {
+        return UserStore.verify(username, password);
+      }).then(function (u) {
+        if (!u) throw new Error("用户名或密码错误");
+        saveSession(u);
+        return u;
+      });
+    });
+  }
+
+  /* ---- 登出：双轨都清 ----------------------------------------------------- */
+  function logout(loginUrl) {
+    clearSession();
+    try {
+      fetch("/auth/logout", { method: "POST", credentials: "include" })
+        .catch(function () {});
+    } catch (e) {}
+    var next = encodeURIComponent(location.pathname + location.search);
+    location.href = (loginUrl || "../auth/login.html") + "?next=" + next;
+  }
+
+  /* ---- 路由守卫（与 #150 IAOP_AUTH 同语义） ------------------------------- */
+  function requireLoginElseRedirect(loginUrl) {
+    return currentUser().then(function (u) {
+      if (!u) {
+        var next = encodeURIComponent(location.pathname + location.search);
+        location.href = (loginUrl || "../auth/login.html") + "?next=" + next;
+        return false;
+      }
+      return u;
+    });
+  }
+
+  /* ---- 角色→模块 ---------------------------------------------------------- */
+  function modulesFor(role) {
+    return MODULES.filter(function (m) { return m.roles.indexOf(role) >= 0; });
+  }
+  function canAccess(moduleKey, role) {
+    var m = MODULES.find(function (x) { return x.key === moduleKey; });
+    return !!m && m.roles.indexOf(role) >= 0;
+  }
+
+  return {
+    MODULES: MODULES,
+    ROLE_LABELS: ROLE_LABELS,
+    ROLE_TAG_COLORS: ROLE_TAG_COLORS,
+    currentUser: currentUser,
+    login: login,
+    logout: logout,
+    requireLoginElseRedirect: requireLoginElseRedirect,
+    modulesFor: modulesFor,
+    canAccess: canAccess
+  };
+})();
+
+/* 兼容层：与 #150 auth.js 导出同签名（studio/admin/users 直接复用）。
+ * 若页面同时加载了 auth.js，本兼容层在后加载时覆盖之，获得本地降级能力。 */
+window.IAOP_AUTH = {
+  currentUser: IAOP_SESSION.currentUser,
+  requireLoginElseRedirect: IAOP_SESSION.requireLoginElseRedirect,
+  AUTH_BASE: ""
+};