B-64: 安全修复——随机初始密码与跨公司重复上传隔离

- 公司账号创建改为随机一次性初始密码，只在创建响应中显示一次，
  密码保证不等于用户名；删除「用户名即初始密码」兼容分支，继续
  强制首次登录改密。
- 跨公司相同字节文件上传只返回通用重复状态：不再返回其他公司的
  原批次 ID、银行、模板、期间、交易数或诊断；同公司重复上传的
  幂等摘要保持可用。
- 补充服务端回归测试，覆盖同公司与跨公司两个分支及随机密码；
  完整测试 85 项全绿，node --check 通过。

tests/test_auth.py

@@ -71,6 +71,11 @@ class PasswordPolicyTests(unittest.TestCase):
             self.assertTrue(any(char.isdigit() for char in password))
         self.assertIsNone(auth.validate_password_policy(auth.generate_initial_password(), "x"))
 
+    def test_initial_password_exclude_never_equals_username(self) -> None:
+        for _ in range(50):
+            password = auth.generate_initial_password(exclude="Cashier99")
+            self.assertNotEqual(password.lower(), "cashier99")
+
 
 class CreateUserTests(AuthTestCase):
     def test_company_role_requires_company(self) -> None: