feat(web): add password protection for web console

- Add `web_password` config to enable login authentication
- Use stateless HMAC-signed token (survives restart, invalidates on password change)
- Add `web_session_expire_days` config (default 30 days)
- Protect all API endpoints with auth check (401 on failure)
- Add login page UI with auto-redirect on session expiry
- Add password management in config page (masked display, inline edit)
- Add tooltip hints for Agent config fields
- Update default agent_max_context_turns to 20, agent_max_steps to 20
- Update docs and docker-compose.yml

docs/channels/web.mdx

@@ -30,6 +30,25 @@ Web 控制台是 CowAgent 的默认通道，启动后会自动运行，通过浏
   请确保服务器防火墙和安全组已放行对应端口。
 </Note>
 
+## 密码保护
+
+Web 控制台默认无需密码即可访问。如果部署在公网环境，建议配置访问密码：
+
+```json
+{
+  "web_password": "your_password"
+}
+```
+
+| 参数 | 说明 | 默认值 |
+| --- | --- | --- |
+| `web_password` | 访问密码，留空表示不启用密码保护 | `""` |
+| `web_session_expire_days` | 登录会话有效天数 | `30` |
+
+配置密码后，访问控制台时需先输入密码完成登录。登录状态默认保持 30 天，期间重启服务也无需重新登录。修改密码后，所有已登录的会话将自动失效。
+
+密码也支持在控制台的「配置」页面中在线修改。
+
 ## 功能介绍
 
 ### 对话界面