首次登录与改密——admin/admin123 进去第一件事

默认凭证

用户名 admin，密码 admin123。任何真实部署都要立刻改——这不是建议，是必须。

进去之后进 Settings → Security 里改密码。管理员可以在成员管理里重置任何成员的密码。

JWT 认证

MateClaw 的认证机制是 JWT：

1. 用户向 /api/v1/auth/login 提交凭证
2. 服务器校验后返回 JWT（响应里有 token、tokenType: Bearer、expiresIn）
3. 之后所有请求在 Authorization header 里带这个 token

滑动窗口续签

MateClaw 实现了滑动窗口 token 续签——这是它和很多 JWT 系统不一样的地方。当 token 剩余有效期在 25% 以内时，服务器在响应头 X-New-Token 里发一个新 token。前端自动拿到新 token 替换旧的，用户感知不到。

手动调 API（curl、Postman）时，需要自己读 X-New-Token header，用新值做后续请求。否则会在某个请求上突然收到 401。

生产环境必须改 JWT Secret

默认的 JWT secret 只适合本地开发。生产环境必须用环境变量 JWT_SECRET=... 设置一个至少 32 字符的密钥，不要 commit 进仓库。

错误码速查