feat(students,teachers,classes,auth,web): 学生个人账号彻底清理，学生只是名单记录

学生不再有登录能力：User.passwordHash 以空串占位，role=STUDENT 在密码校验之前
一律 403 并提示改用班级登录（否则「密码错 401 / 密码对但已停用 403」的差异会把
学生账号密码变成可离线验证的预言机）。成绩、未交名单、叫人、已读全部按名单记。

配套改动：
- 删除 POST /students/:id/reset-password（调用返回 404，e2e 有负断言）；
- 新建学生不设密码，StudentsView 移除密码输入与「重置密码」入口，
  列表标识仍自动生成为学号式（student01…）；
- class-account.ts / auth.service.ts 收紧班级会话语义；
- 经管「修改密码」入口收敛到 Web 端：教师改本人密码走顶栏下拉，
  班级密码由管理员在班级管理里维护，教师可用 POST /teachers/:id/reset-password 设初始密码。

packages/server/src/modules/auth/auth.service.ts

@@ -19,14 +19,16 @@ export async function login(input: LoginInput): Promise<LoginResponse> {
   const user = await prisma.user.findUnique({ where: { username: input.username } });
   if (!user) throw ApiError.unauthorized('用户名或密码错误');
 
-  const passwordMatched = await verifyPassword(input.password, user.passwordHash);
-  if (!passwordMatched) throw ApiError.unauthorized('用户名或密码错误');
-
-  // 个人学生账号已停用登录入口（需求：以班级为单位，删掉学生用自己用户名登录）
+  // 角色判定必须放在密码校验**之前**：否则"密码错"与"密码对但学生账号已停用"会给出
+  // 不同的响应（401 / 403），攻击者据此就能把学生账号的密码当成可离线验证的预言机。
+  // 文案与状态码保持不变（客户端按 403 提示"请用班级码登录"）。
   if (user.role === 'STUDENT') {
     throw ApiError.forbidden('学生请使用「班级码 + 班级密码」登录（个人学生账号已停用）');
   }
 
+  const passwordMatched = await verifyPassword(input.password, user.passwordHash);
+  if (!passwordMatched) throw ApiError.unauthorized('用户名或密码错误');
+
   const payload: TokenPayload = {
     sub: user.id,
     username: user.username,