新增管理命令：在服务器上执行管理后台常用操作

[wxkingstar]

目的

管理后台里最常用的调整（AI 员工、技能管理、技能审批、业务系统、团队与用户）现在可以在服务器上用命令完成，不必每次登录后台手工操作。

做法

• 新增 coreman bots / skills / approvals / systems / teams / users，以及覆盖其余管理接口的 coreman api <get|post|put|patch|delete> PATH。
• 命令在 API 镜像里运行：进程内启动同一个 API 应用，以 --as（或 COREMAN_CLI_USER）指定的成员建一个短期管理台会话（auth_method = cli），请求走同一套管理接口，结束时吊销。权限、校验、乐观锁、变更通知和审计日志都与管理后台一致，没有另写业务逻辑。
• 员工、成员、团队、技能、业务系统都可以按名称或标识指定，命令里自动换成 id；审批 id 写开头几位即可。set 类命令取回现值、只改给出的字段；环境变量和环境组变量只回传脱敏值，明文不经过终端；删除和「对所有人放开」需要 --yes；--json 输出原始数据。
• deploy/coreman 转发这些命令，并把宿主机上的 COREMAN_CLI_USER 带进容器；镜像里新增 coreman 入口（project.scripts），k8s 可以直接 exec。
• 用法见 docs/admin-cli.md。无数据库迁移。

注意

• 权限沿用平台规则：改 AI 员工配置只有创建者和协作者能做，平台管理员也不行。要改别人的员工，先 bots member-add 把自己加为协作者，或以创建者身份执行。
• 新建员工（扫码流程）和切换运行时（文件与记忆迁移）没有做成命令，仍在后台操作，或用 coreman api。

验证

• tests/api/test_admin_cli.py：操作人校验与会话吊销、stdout 不混日志、权限拒绝、审计记录、脱敏值保留原密钥、白名单移空保护、内部技能「申请 → 审批 → 排队安装」、技能目录与环境组、业务系统开放范围与授权、团队规则与用户归属、api 命令。
• tests/unit/test_coreman_script.py：部署脚本转发与 COREMAN_CLI_USER 透传。
• 本地全量 pytest -n 4：3032 passed, 2 skipped；ruff check、mypy coreman 通过。

🤖 Generated with Claude Code