GET
/api/auth/status
裸对象
hasPasswordLoginboolean是否启用密码登录
hasUsersboolean?是否存在托管用户
POST
/api/auth/login
{ token }
usernamestring请求体
passwordstring请求体
tokenstring成功响应唯一字段 → setApiKey()
errorstring失败响应；429 / 503 触发锁定提示
守卫顺序：checkHermesCliAvailable() → meta.public → hasApiKey() → requiresSuperAdmin。
已持有 token 时组件 setup 阶段直接 router.replace('/hermes/chat')。
失败码 429 / 503 → 显示 hermes-ui clear-login-locks --restart 与
hermes-ui reset-default-login；其余显示 err.message。