DNF90 服务端与启动器完整源码（含 GM 工具功能增强）

服务端（Go）：
- GM 塞背包/带属性装备发放：在线角色推送 op14 增量物品行，背包实时刷新，无需回角色选择界面
- GM 改金币/改等级：去掉在线拒绝，落库后推送 op14 钱包/op37 等级状态，在线实时刷新
- 等级端点统一切换到新版 GMSetCharacterLevel（自带在线刷新）
- 无限/锁死疲劳模式 + 燃烧疲劳：每房间消耗 2 点、打怪与通关经验双倍
- 燃烧疲劳开关时给所有在线角色推送系统提示（op12 mode 0）
- 深渊史诗掉率：GM 全局倍率 + 城镇增益药剂窗口倍率，真实接入掉落结算

启动器（Python/JS）：
- 标题栏自绘、窗口 1204x717、禁止拖拽改大小、仅最小化/关闭
- GM 工具：疲劳与燃烧、深渊史诗掉率、拍卖行上架（单一定价对齐）
- 拍卖行上架前端对齐服务端单一价格语义，修复 400 报错

server/internal/platform/app/admin_security.go

@@ -0,0 +1,66 @@
+package app
+
+import (
+	"log/slog"
+	"net/http"
+
+	"longheng.io/server/internal/platform/audit"
+	"longheng.io/server/internal/platform/config"
+	"longheng.io/server/internal/platform/httpx"
+	"longheng.io/server/internal/platform/ratelimit"
+)
+
+type adminSecurity struct {
+	configProvider func() config.ServiceConfig
+	audit          *audit.Logger
+	logger         *slog.Logger
+	rateLimiter    *ratelimit.Limiter
+}
+
+func newAdminSecurity(configProvider func() config.ServiceConfig, auditLogger *audit.Logger, logger *slog.Logger, limiter *ratelimit.Limiter) adminSecurity {
+	return adminSecurity{
+		configProvider: configProvider,
+		audit:          auditLogger,
+		logger:         logger,
+		rateLimiter:    limiter,
+	}
+}
+
+func (s adminSecurity) wrap(scope string, next http.HandlerFunc) http.HandlerFunc {
+	handler := httpx.WrapAdminPolicy(s.policy, s.logger, scope, next)
+	if s.rateLimiter == nil {
+		return handler
+	}
+	return s.rateLimiter.WrapFunc(handler)
+}
+
+func (s adminSecurity) wrapDangerous(scope, operation string, next http.HandlerFunc) http.HandlerFunc {
+	handler := httpx.WrapDangerousAdminPolicy(s.policy, s.logger, scope, operation, next)
+	if s.rateLimiter == nil {
+		return handler
+	}
+	return s.rateLimiter.WrapFunc(handler)
+}
+
+func (s adminSecurity) policy() httpx.AdminPolicy {
+	cfg := config.ServiceConfig{}
+	if s.configProvider != nil {
+		cfg = s.configProvider()
+	}
+	tokens := make([]httpx.AdminToken, 0, len(cfg.Admin.Tokens))
+	for _, token := range cfg.Admin.Tokens {
+		tokens = append(tokens, httpx.AdminToken{
+			Name:   token.Name,
+			Token:  token.Token,
+			Role:   token.Role,
+			Scopes: append([]string(nil), token.Scopes...),
+		})
+	}
+	return httpx.AdminPolicy{
+		Token:               cfg.Admin.Token,
+		RBACEnabled:         cfg.Admin.RBACEnabled,
+		RequireConfirmation: cfg.Admin.DangerousConfirm,
+		Tokens:              tokens,
+		Audit:               s.audit,
+	}
+}