fix(部署): Redis 强制口令，外接形态部署前实测

会话存在 Redis 里（session:<token> → 用户 id），能连上它就能伪造任意用户包括超管的
登录态。旧栈起的 oj-redis 发布在 0.0.0.0:5446、不带口令，2026-09-27 从公网实测
PING 得通。

- compose.debian.yml：REDIS_URL 用 ${REDIS_PASSWORD:?} 带上口令，缺了直接报错；
  自带数据形态的 oj-redis 加 --requirepass，端口只发布在 127.0.0.1
- deploy.sh：外接形态下实测「不带口令连不上、带 docker/.env 的口令连得上」，
  任一条不满足就中止部署
- clear-sessions.sh：从 docker/.env 读口令走 REDISCLI_AUTH；口令为空时不带 -e
  （空的 REDISCLI_AUTH 会发一条 AUTH ""，实测会报一行 AUTH failed）
- compose.dev.yml：三个端口只绑 127.0.0.1
- docs/deploy.md 加「Redis 口令」一节：给旧栈 redis 加口令的一次性步骤

旧栈那份 compose 不在本仓库，线上 redis 的口令要照手册在服务器上手工加；
加之前 deploy.sh 会一直拦着。机房的 redis 不发布端口，不需要口令。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docker/compose.debian.yml

@@ -61,10 +61,16 @@ services:
     # redis 里没有非丢不可的东西（会话、判题队列），用旧的那个也无所谓 ——
     # 旧后端已经停了，新后端独占它，剩下的 Django / dramatiq 残留键前缀不同，互不干扰。
     profiles: ["local-data"]
+    # 会话存在这里：谁能连上它，谁就能写一条 session:<token> 冒充超管。所以必须带密码，
+    # 端口也只发布在本机（api / worker 走 compose 网络连 oj-redis，用不着宿主机端口）。
+    command: ["redis-server", "--requirepass", "${REDIS_PASSWORD:?}"]
+    environment:
+      # redis-cli 认这个变量，healthcheck 和 docker exec 进来的 redis-cli 都不用再带 -a
+      REDISCLI_AUTH: ${REDIS_PASSWORD:?}
     volumes:
       - ${DATA_DIR:-../data}/redis:/data
     ports:
-      - "5446:6379"
+      - "127.0.0.1:5446:6379"
     healthcheck:
       test: ["CMD", "redis-cli", "ping"]
       interval: 5s
@@ -134,7 +140,8 @@ services:
       - ${DATA_DIR:-../data}/backend:/data
     environment: &api-env
       DATABASE_URL: postgres://onlinejudge:${POSTGRES_PASSWORD:?}@${DB_HOST:-oj-postgres}:${DB_PORT:-5432}/onlinejudge
-      REDIS_URL: redis://${REDIS_HOST:-oj-redis}:${REDIS_PORT:-6379}
+      # 密码拼进 URL，所以只能用 URL 安全的字符 —— 用 openssl rand -hex 32 生成
+      REDIS_URL: redis://:${REDIS_PASSWORD:?请在 docker/.env 里设置 REDIS_PASSWORD}@${REDIS_HOST:-oj-redis}:${REDIS_PORT:-6379}
       JUDGE_SERVER_URL: http://oj-judge:8080
       JUDGE_SERVER_TOKEN: ${OJ2_JUDGE_TOKEN:?}
       JUDGE_CONCURRENCY: ${JUDGE_CONCURRENCY:-2}