feat(class-account): 学生端主体改为班级（班级码 + 班级密码）+ 数据按班级隔离

服务端:
- Class 新增 code(唯一)/passwordHash 与迁移(老数据回填 C00001 形式, 未设密码禁止登录)
- POST /auth/class-login: 班级码 + 班级密码 -> classSession 会话(sub=classId)
- PATCH /classes/:id/class-account: 管理员改班级码/重置密码(唯一性、格式校验)
- auth 中间件/socket 握手支持班级会话(sub 为 classId, 回查 Class 表, 加入 user:{classId} 房间)
- lib/session.ts: 班级设备代全班操作(通知已读/作业完成/成绩总览按全班读写), 普通学生账号行为不变
- 叫人消息同时广播到 user:{classId}, 班级设备立即上岛
- 班级列表/详情按权限返回班级码与密码状态(哈希不外泄)

客户端:
- 登录页改为班级码 + 班级密码(个人学生入口移除, /auth/login 接口保留兼容)
- 作业按钮/成绩标题按班级会话显示(全班标记完成 / 本班成绩)
- 冒烟脚本自动准备班级账号凭据(兼容全新与升级安装)

Web 管理端:
- 班级管理新增「班级账号」列与设置弹窗(改班级码/重置密码/随机生成)
- 新建班级可选自定义班级码, 默认由服务端生成

验证: verify:e2e 125/125(新增班级账号 18 项) verify:web 18/18 verify:desktop 40/40
      (login=高一(1)班 classSession=true)
文档: README 新增「学生端班级账号」章节、API/迁移/验收/默认账号更新; 安装包 README 同步

packages/server/src/lib/session.ts

@@ -0,0 +1,53 @@
+import { prisma } from './db.js';
+import type { TokenPayload } from './jwt.js';
+
+/**
+ * 会话主体解析：普通账号 vs 班级账号（班级设备）。
+ *
+ * 背景（需求 1）：学生端以「班级」为主体登录，个人学生不再作为登录入口。
+ * 班级账号的 JWT 形如：
+ *   { sub: <classId>, username: <班级码>, name: <班级名>, role: 'STUDENT',
+ *     classId: <classId>, classSession: true }
+ *
+ * 语义（由用户确认）：
+ * - **班级设备代全班操作**：勾选作业完成、标记通知已读，都会写到该班全体学生的记录上，
+ *   因此教师端的"完成人数/已读人数"统计依然准确；
+ * - 读状态判定使用 `userId in 全班学生`：任一条记录存在即视为该班设备读过/完成过；
+ * - 个人学生账号（student01…）保持完全兼容，此时"全班"范围退化为"只有自己"。
+ *
+ * 这样所有个人数据的读写都收敛到 `resolvePersonalIds()` 一个入口，
+ * 既不需要改数据库结构，也不会让旧的个人账号行为发生变化。
+ */
+export function isClassSession(user: TokenPayload): boolean {
+  return user.role === 'STUDENT' && user.classSession === true;
+}
+
+/** 班级账号对应的班级 id */
+export function classSessionClassId(user: TokenPayload): string {
+  return user.classId ?? user.sub;
+}
+
+/** 该班级的全部学生 id（班级账号的"全班"范围） */
+export async function listClassStudentIds(classId: string): Promise<string[]> {
+  const students = await prisma.user.findMany({
+    where: { classId, role: 'STUDENT' },
+    select: { id: true },
+  });
+  return students.map((item) => item.id);
+}
+
+/**
+ * 当前会话的"个人记录主体"列表：
+ * - 普通学生：自己
+ * - 班级账号：全班学生
+ * - 教师/管理员：自己（教师侧的完成情况统计走 withStatus，不依赖这个列表）
+ */
+export async function resolvePersonalIds(user: TokenPayload): Promise<string[]> {
+  if (isClassSession(user)) return listClassStudentIds(classSessionClassId(user));
+  return [user.sub];
+}
+
+/** Prisma 过滤片段：`{ userId: { in: ids } }` */
+export function personalIdWhere(ids: string[]): { userId: { in: string[] } } {
+  return { userId: { in: ids } };
+}