fix(部署): Redis 强制口令，外接形态部署前实测

会话存在 Redis 里（session:<token> → 用户 id），能连上它就能伪造任意用户包括超管的
登录态。旧栈起的 oj-redis 发布在 0.0.0.0:5446、不带口令，2026-09-27 从公网实测
PING 得通。

- compose.debian.yml：REDIS_URL 用 ${REDIS_PASSWORD:?} 带上口令，缺了直接报错；
  自带数据形态的 oj-redis 加 --requirepass，端口只发布在 127.0.0.1
- deploy.sh：外接形态下实测「不带口令连不上、带 docker/.env 的口令连得上」，
  任一条不满足就中止部署
- clear-sessions.sh：从 docker/.env 读口令走 REDISCLI_AUTH；口令为空时不带 -e
  （空的 REDISCLI_AUTH 会发一条 AUTH ""，实测会报一行 AUTH failed）
- compose.dev.yml：三个端口只绑 127.0.0.1
- docs/deploy.md 加「Redis 口令」一节：给旧栈 redis 加口令的一次性步骤

旧栈那份 compose 不在本仓库，线上 redis 的口令要照手册在服务器上手工加；
加之前 deploy.sh 会一直拦着。机房的 redis 不发布端口，不需要口令。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docker/deploy.sh

@@ -175,6 +175,17 @@ if [ "$LOCAL_DATA" -eq 0 ]; then
       || die "外接形态依赖的 $c 没在跑 —— 先 docker compose -f /root/OJDeploy/docker-compose.yml up -d $c"
   done
   ok "外接的 postgres / redis 都在跑"
+
+  # 外接的 redis 不归本栈管，口令是否真的生效只能在这里查。旧栈那份 compose 的 redis
+  # 原本没有口令、端口发布在公网上 —— 会话存在里面，等于人人可以伪造超管登录态。
+  # 不带口令能 PING 通就说明那边还没加 --requirepass，这种状态不许上线。
+  redis_pw=$(grep -E '^REDIS_PASSWORD=' docker/.env | tail -1 | cut -d= -f2- || true)
+  [ -n "$redis_pw" ] || die "docker/.env 里没有 REDIS_PASSWORD（openssl rand -hex 32 生成）"
+  [ "$(docker exec -e REDISCLI_AUTH= oj-redis redis-cli ping 2>/dev/null)" != PONG ] \
+    || die "外接的 oj-redis 不带口令也能连上 —— 先给它加 --requirepass，见 docs/deploy.md「Redis 口令」"
+  [ "$(docker exec -e REDISCLI_AUTH="$redis_pw" oj-redis redis-cli ping 2>/dev/null)" = PONG ] \
+    || die "用 docker/.env 的 REDIS_PASSWORD 连不上外接的 oj-redis —— 两边口令不一致"
+  ok "外接的 redis 要求口令，且和 docker/.env 一致"
 else
   ok "postgres / redis 由本栈起，不预检"
 fi