B-64: 安全修复——随机初始密码与跨公司重复上传隔离

- 公司账号创建改为随机一次性初始密码，只在创建响应中显示一次，
  密码保证不等于用户名；删除「用户名即初始密码」兼容分支，继续
  强制首次登录改密。
- 跨公司相同字节文件上传只返回通用重复状态：不再返回其他公司的
  原批次 ID、银行、模板、期间、交易数或诊断；同公司重复上传的
  幂等摘要保持可用。
- 补充服务端回归测试，覆盖同公司与跨公司两个分支及随机密码；
  完整测试 85 项全绿，node --check 通过。

web/app.js

@@ -1006,7 +1006,7 @@ function initAdmin() {
     await loadAdminCompanies();
     showToast(
       accountCreated ? "公司与账号已创建" : "公司已创建",
-      accountCreated ? `账号 ${result.username} 的初始密码与登录账号相同，首次登录必须修改` : "可稍后在账号管理中创建公司账号",
+      accountCreated ? `账号 ${result.username} 的初始密码已生成（仅此一次显示）：${result.initial_password}，首次登录必须修改` : "可稍后在账号管理中创建公司账号",
     );
   });
 
@@ -1204,12 +1204,15 @@ async function parseFile() {
   }
   state.parseResult = result;
   const duplicated = result.status === "duplicate";
+  const opaqueDuplicate = duplicated && !result.bank;
   const panel = $("#parseResult");
   panel.classList.toggle("is-exception", !parsed);
   $("use", panel).setAttribute("href", parsed ? "icons.svg#circle-check" : "icons.svg#circle-alert");
   $("strong", panel).textContent = duplicated ? "文件已导入过" : parsed ? "文件解析完成" : "未识别到银行模板";
   $("#parseSummary").textContent = parsed
-    ? `${result.bank} · 表头第 ${result.header_row} 行 · ${result.transactions} 条明细 · ${result.warnings.length ? `${result.warnings.length} 项提示` : "校验通过"}${duplicated ? " · 重复上传，复用已有批次" : ""}`
+    ? opaqueDuplicate
+      ? "相同内容的文件已由其他公司导入，仅记录重复状态，不重复入账。"
+      : `${result.bank} · 表头第 ${result.header_row} 行 · ${result.transactions} 条明细 · ${result.warnings.length ? `${result.warnings.length} 项提示` : "校验通过"}${duplicated ? " · 重复上传，复用已有批次" : ""}`
     : `${result.message} 系统不会猜测模板或自动入账。`;
   panel.hidden = false;
   $("#parseButton span").textContent = parsed ? "确认导入" : "提交异常";