feat(hub): migrate database admin pages to SPA (database-admin)

- scaffold hub/database-admin as SvelteKit 2 + Svelte 5 static SPA
  with aurora/glass visual style (paths.base='/database')
- add lib/{api,session,org}.ts + Aurora.svelte component
- add routes: root redirect, /admin login page, /dashboard (OWNER/ADMIN only)
- backend: replace server-rendered HTML routes with /database/config JSON endpoint
- add hub/src/database/static.ts to serve SPA under /database/*
- wire registerDatabaseSpa into plugin.ts
- exempt /database/* from silo rate-limit (same treatment as /admin/*)
- add database:dev + database:build npm scripts; update deploy scripts
- update hub/src/database/README.md

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

hub/src/database/README.md

@@ -3,13 +3,27 @@
 `/database/*` HTTP 面。代码写在这个目录里，`hub.ts` 通过 `plugin.ts` 挂载它，
 所以服务器启动时能正确识别这些路由。
 
-页面：
+**前后端分离**：页面已迁到独立的 SvelteKit 静态 SPA `hub/database-admin/`
+（与 `hub/admin-web/` 同一套框架）。本目录的后端只保留三件事：鉴权透传、一个
+免鉴权配置端点、以及把 SPA 构建产物托管出去。页面全部由 SPA 客户端渲染。
 
-- `/database/admin` —— 飞书登录页（唯一登录方式）
-- `/database/dashboard` —— 左菜单 + 右内容的后台，未登录会跳回 `/database/admin`
+后端路由：
 
-登录走平台既有的飞书 OAuth：登录页的按钮指向 `/auth/feishu/<orgSlug>`，
-回调由 `src/admin/routes/authRoutes.ts` 处理并种下 session cookie。
+- `GET /database/config` —— 免鉴权。返回 `{ siloOrganizationSlug, devLoginEnabled }`，
+  给 SPA 登录页拼飞书链接、决定是否显示 dev 按钮用。不含任何敏感数据。
+- `GET /database/dev-login` —— 仅开发。见下。
+- `GET /database`、`GET /database/*` —— SPA shell / 客户端路由 fallback
+  （`static.ts` 的 `registerDatabaseSpa`）；资产在 `/database/_app/*`。
+
+SPA 页面（`database-admin`，`paths.base='/database'`）：
+
+- `/database/admin` —— 飞书登录页。按钮指向 `/auth/feishu/<orgSlug>`（slug 来自
+  `/database/config`），回调由 `src/admin/routes/authRoutes.ts` 处理并种 session cookie。
+- `/database/dashboard` —— 后台壳。未登录跳登录页；**登录但非 OWNER/ADMIN 显示无权提示**。
+
+> **注册顺序要点**：concrete 路由（`/database/config`、`/database/dev-login`）必须在
+> `registerDatabaseSpa` 的 `/database/*` fallback 之前注册（已在 `plugin.ts` 保证），
+> 否则通配会 shadow 它们。
 
 ## 开发模式：用环境变量开启一键登录
 
@@ -29,7 +43,8 @@ HUB_DEV_LOGIN_BYPASS="true"
 
 开启后：
 
-- `/database/admin` 登录页显示「⚡ 一键登录管理员」按钮
+- `/database/config` 返回 `devLoginEnabled: true`，SPA 登录页据此显示
+  「⚡ 一键登录管理员」按钮
 - 后端注册 `/database/dev-login` 端点：按钮就是打它，它签发一个和飞书 OAuth
   回调完全一样的 session，然后跳到 `/database/dashboard`
 
@@ -57,12 +72,22 @@ allowDevLoginBypass = (NODE_ENV !== "production") && HUB_DEV_LOGIN_BYPASS 为真
 
 | 文件 | 职责 |
 |------|------|
-| `plugin.ts` | 模块对外入口，`hub.ts` 调 `registerDatabasePlugin()` |
-| `routes/databaseRoutes.ts` | 路由 + 页面渲染，**你主要在这里加内容** |
+| `plugin.ts` | 模块对外入口，`hub.ts` 调 `registerDatabasePlugin()`；先挂 concrete 路由再挂 SPA |
+| `routes/databaseRoutes.ts` | 后端 JSON / redirect 路由（`/database/config`、`/database/dev-login`），**数据端点加在这里** |
+| `static.ts` | `registerDatabaseSpa`：托管 `database-admin/build` 的 SPA + `/database/*` fallback |
 
-新增一类端点时：要么直接往 `databaseRoutes.ts` 加 `app.get("/database/...")`，
+新增一类**数据**端点时：要么直接往 `databaseRoutes.ts` 加 `app.get("/database/...")`，
 要么新建 `routes/xxxRoutes.ts` 并在 `databaseRoutes.ts` 里 `registerXxxRoutes(app, {...})`
-注册一次。
+注册一次。**页面**则加在 `database-admin/src/routes/` 下（SvelteKit 路由）。
+
+## SPA 构建与托管
+
+- 前端在 `hub/database-admin/`，`npm run build`（或 hub 根的 `npm run database:build`）
+  产出到 `database-admin/build/`。hub 的 `npm run build` 会把两个 SPA 一起带出来。
+- `static.ts` 默认从 `../../database-admin/build` 读产物；可用 `CPH_DATABASE_UI_DIR`
+  覆盖。产物缺失时降级：只 warn，不挂 SPA，`/database/config` 与 `/database/dev-login` 仍可用。
+- 本地开发：hub 根 `npm run database:dev` 起 Vite，它把 `/api`、`/auth`、`/database`
+  代理到 `127.0.0.1:8788`。
 
 ## 约定（与 admin 面一致）