B-64: 安全修复——随机初始密码与跨公司重复上传隔离

- 公司账号创建改为随机一次性初始密码，只在创建响应中显示一次，
  密码保证不等于用户名；删除「用户名即初始密码」兼容分支，继续
  强制首次登录改密。
- 跨公司相同字节文件上传只返回通用重复状态：不再返回其他公司的
  原批次 ID、银行、模板、期间、交易数或诊断；同公司重复上传的
  幂等摘要保持可用。
- 补充服务端回归测试，覆盖同公司与跨公司两个分支及随机密码；
  完整测试 85 项全绿，node --check 通过。

tests/test_master_data.py

@@ -263,7 +263,9 @@ class MasterDataApiTests(unittest.TestCase):
         assert status == 200, data
         payload = as_json(data)
         cls.company_a = payload["company_id"]
-        assert payload["initial_password"] == "cashier-a"
+        cls.initial_a = payload["initial_password"]
+        assert cls.initial_a != "cashier-a"
+        assert len(cls.initial_a) >= 12
 
         status, _, data = cls.admin.post_json("/api/admin/companies", {"name": "乙公司"})
         assert status == 200, data
@@ -272,9 +274,11 @@ class MasterDataApiTests(unittest.TestCase):
             "/api/admin/users", {"username": "cashier-b", "company_id": cls.company_b}
         )
         assert status == 200, data
+        cls.initial_b = as_json(data)["initial_password"]
+        assert cls.initial_b != "cashier-b"
 
-        cls.cashier_a = cls._login_company_user("cashier-a", "cashier-a")
-        cls.cashier_b = cls._login_company_user("cashier-b", "cashier-b")
+        cls.cashier_a = cls._login_company_user("cashier-a", cls.initial_a)
+        cls.cashier_b = cls._login_company_user("cashier-b", cls.initial_b)
 
     @classmethod
     def _login_company_user(cls, username: str, initial: str) -> Client: