feat: complete registration invitation and auth redesign

docs/IM-后台需求文档.md

@@ -223,10 +223,11 @@
 
 1. 用户列表、搜索、详情。
 2. 创建、启用、停用、离职、恢复用户。
-3. 重置密码、撤销 Token、踢下线。
+3. 重置密码、撤销 Token、踢下线；无手机号账号忘记密码时只能由当前租户管理员执行重置。
 4. 查看登录设备、登录 Session、安全事件。
 5. 查看用户实名状态、青少年状态、隐私设置摘要。
 6. 支持同手机号在不同租户独立存在，本租户后台只看到本租户用户。
+7. 支持注册邀请码单个/批量生成、有效期设置、撤销、明文精确查询和导出；邀请码固定为 5 位大小写英文字母，区分大小写且租户内不可重复。
 
 建议接口：
 
@@ -244,8 +245,10 @@
 验收点：
 
 1. 停用用户不影响其他租户相同手机号或相同设备用户。
-2. 重置密码必须递增 `auth_version` 并撤销旧 Token。
-3. 查看敏感信息必须脱敏，证件号、手机号、Token 不写日志。
+2. 管理员只能重置当前租户用户，不得根据用户名跨租户查找或操作。
+3. 重置密码必须递增 `auth_version`，撤销旧 Token 和在线 Session，并写入包含操作者、目标用户、时间和结果的安全审计。
+4. 查看敏感信息必须脱敏，证件号、手机号、Token 不写日志。
+5. 邀请码明文查看、查询和导出必须校验独立权限并写审计；普通日志不得记录邀请码。
 
 ### 5.3 组织架构管理