docs: update with production mode, test accounts, admin auto-verify

Ultraworked with [Sisyphus](https://github.com/code-yeongyu/oh-my-openagent)

Co-authored-by: Sisyphus <clio-agent@sisyphuslabs.ai>

AGENTS.md

@@ -189,7 +189,7 @@ cd zhiyin-app && npm run build:mp-weixin && node scripts/upload-mp.js
 |------|------|---------|
 | Phase 0: 战略升级 | ✅ 完成 | 定价重构（免费 + ¥19.9/月），三层壁垒设计 |
 | Phase 0.5: 壁垒构建 | ✅ 完成 | 数据飞轮（面经贡献+题库），留存入围（进步轨迹+打卡日历+每日一题） |
-| Phase 1: MVP 上线 | 🚧 当前 | 小程序审核提交、微信登录联调、生产部署、100 人内测 |
+| Phase 1: MVP 上线 | 🚧 当前 | 小程序 v1.0.11 已上传、H5 已部署、生产模式已启用、SMTP 邮箱验证码已配置 |
 | Phase 1.5: 商业化 | 📋 规划 | 冲刺版 ¥49.9/月、每日一题定时推送、PMF 验证 |
 | Phase 2: 增强 + 题库 | 📋 规划 | 50+ 校招岗位、技能缺口分析、公司真题库建设 |
 | Phase 3: 秋招冲刺 | 📋 规划 | 高校合作、B 端服务、KOC 推广 |
@@ -204,6 +204,7 @@ cd zhiyin-app && npm run build:mp-weixin && node scripts/upload-mp.js
 ```
 MONGODB_URI=mongodb://localhost:27017/zhiyin
 JWT_SECRET=your-strong-secret-at-least-32-chars
+NODE_ENV=production
 PORT=3006
 AI_PRIMARY_KEY=xxx
 AI_BACKUP_KEY=xxx
@@ -214,6 +215,12 @@ WECHAT_SERIAL_NO=xxx
 WECHAT_PRIVATE_KEY_PATH=/path/to/apiclient_key.pem
 WX_DAILY_QUESTION_TMPL=微信订阅消息模板 ID
 CORS_ORIGINS=http://localhost:8888,https://zhiyin.yzrcloud.cn
+EMAIL_HOST=smtp.qiye.aliyun.com
+EMAIL_PORT=465
+EMAIL_SECURE=true
+EMAIL_USER=contact@yuzhiran.com
+EMAIL_PASSWORD=xxx
+EMAIL_FROM=宇之然AI磁场 <contact@yuzhiran.com>
 WHISPER_CPP_PATH=/home/wlt/whisper.cpp   # whisper.cpp 路径
 WHISPER_MODEL=base                        # ASR 模型：tiny / base / small
 WHISPER_LANGUAGE=zh                       # ASR 语言
@@ -228,7 +235,19 @@ VITE_APP_NAME=AI磁场
 
 ---
 
-## 八、Git
+## 八、测试 / 管理员账号
+
+| 账号 | 密码 | 角色 | 说明 |
+|------|------|------|------|
+| `13701190814@139.com` | `Zhiyin2024!` | admin | 管理员，可访问管理后台 |
+| `test@yzrcloud.cn` | `123456` | user | 测试账号 |
+| `test@test.com` | 验证码 `123456` | admin | 旧管理员（dev 模式可用） |
+
+管理后台路径：`/pages/admin/admin`，进入后自动验证管理员身份（`onMounted` → `doVerify`）。
+
+---
+
+## 九、Git
 
 - 远程仓库: `http://127.0.0.1:2999/txai-dev/zhiyin.git`（本机 Gitea，带 token 认证）
 - 默认分支: `master`
@@ -236,7 +255,7 @@ VITE_APP_NAME=AI磁场
 
 ---
 
-## 九、技术细节与坑
+## 十、技术细节与坑
 
 1. **DOMMatrix polyfill**: `main.ts` 顶部有 pdf-parse 所需的浏览器 API polyfill（DOMMatrix / DOMPoint），新增 PDF 相关功能时注意兼容性
 2. **postbuild**: `backend/package.json` 中的 `postbuild` 脚本自动复制 `certs/` 到 `dist/src/certs/`，这是微信支付证书的必要步骤
@@ -244,14 +263,15 @@ VITE_APP_NAME=AI磁场
 4. **前端 API 调用**: `zhiyin-app/src/services/api.ts` 封装了 `uni.request`，自动处理 token 注入（从 `uni.getStorageSync('token')`）和 401 过期跳转
 5. **前端环境判断**: `config.ts` 中使用 `// #ifdef H5` / `// #ifdef MP-WEIXIN` 条件编译区分 H5 和小程序
 6. **API 限流**: 100 次/60 秒（在 `app.module.ts` 中配置），注意避免在定时任务和批量操作中被限
-7. **验证码**: 开发模式下手机验证码固定为 `123456`（`user.service.ts` 中实现），生产环境需移除
+7. **验证码**: 生产模式（`NODE_ENV=production`）使用真实 SMTP 发邮件验证码；非生产模式手机验证码固定为 `123456`、邮件验证码在响应中返回 `devCode`
 8. **MongoDB**: 8 个核心集合 + 2 个分享集合
 9. **api.ts 陷阱**: 对象字面量必须在 `export const apiService = {` 或 `const apiService = { ... export default apiService` 中包裹，否则 uni-app 构建报错 `Expected ";" but found ":"`。git pull 后经常丢失这行声明，需手动补回
 10. **H5 构建 assets 清理**: `assets/` 中的旧 hash 文件不能随意删除——`index-*.js`（主 bundle）动态 import 了所有 page chunk，删除仍在引用的文件会导致浏览器 `NS_ERROR_CORRUPTED_CONTENT`
+11. **管理后台自动验证**: `admin.vue` 中 `onMounted` 自动调用 `doVerify()`，进入后台即检测 JWT 中 `role` 是否为 `admin`，不再需要手动点击"验证管理员身份"按钮
 
 ---
 
-## 十、交付检查清单（每次实施/修改后执行）
+## 十一、交付检查清单（每次实施/修改后执行）
 
 ### Step 1: 代码评审
 - [ ] 是否符合现有模块模式（schema→service→controller→module）