feat: 用户名登录——一账号一个牧场，登录后改 URL 也进不了别人的档

多用户之前是「知道牧场名就能玩」：?farm=boss 直接进别人家里。
现在网页端用用户名登录（用户选择：不设密码、一账号一个牧场，
用户名即身份——互信小圈子模型，防的是随手改 URL，不是蓄意攻击）。

* 新增 farm/server/auth.py：HMAC-SHA256 签名的 HttpOnly Cookie
  （sf_auth，30 天，恒时比较防篡改）。密钥存 <save_dir>/secret.key，
  重启不掉线，也不用建表存 token。
* app.py 三个认 ?farm= 的地方（session_of / SSE / POST /api/farms）
  统一规则：有 Cookie 强制本人的牧场（?farm=/X-Farm-Id 被忽略），
  无 Cookie 保持旧语义——bot/TUI/CLI 脚本零改动照常工作。
* 新路由：POST /api/login（全局 token 照常把它挡在门外）、
  POST /api/logout、GET /api/me（刻意不 guard：首屏只问"登录没"）。
* 网页：移除牧场名输入框，改为登录遮罩 + 用户徽章 + 退出按钮；
  首屏先 whoami() 再决定连接还是弹登录。

测试 +13：Cookie 伪造/过期/跨密钥/垃圾串/非法用户名/密钥跨重启复用/
session_of 优先级（starlette Request 用 scope dict 直接构造，不需要
httpx）9 项纯逻辑档 + 4 项 TestClient 档。528 项 OK（skip 39）。

真机验收 16/16：登录/HttpOnly/?farm= 被忽略/动作落自己牧场/篡改
退回未登录/退出/非法名 400；跨重启 Cookie 仍有效且进度保留。

README.md

@@ -146,6 +146,8 @@ $ uv run main.py do harvest '{"plot":2}'
 
 **多牧场**：用 `?farm=名字` 或请求头 `X-Farm-Id` 指定；不指定就是 `default`。
 牧场不存在时会**自动创建**，所以每个客户端只需挑一个名字。
+**网页端用用户名登录**（`POST /api/login`，Cookie 绑定同名牧场）：登录后 `?farm=`
+被忽略、只能操作自己的牧场；脚本/AI 不带 Cookie 时保持旧语义，不受影响。
 
 ### 5.1 最短决策闭环
 
@@ -164,6 +166,9 @@ POST /api/actions             →  {"action":"<上一步的 action>","params":{.
 | GET | `/api/world` | 世界概览：排行榜、在线连接、时钟 |
 | GET | `/api/farms` | 牧场列表（按净资产排名） |
 | POST | `/api/farms` | `{"farm":"名字","owner":"昵称","tick":10}` 创建/进入 |
+| POST | `/api/login` | `{"username":"名字"}` 用户名登录，设置 HttpOnly Cookie |
+| POST | `/api/logout` | 退出登录（清除 Cookie） |
+| GET | `/api/me` | 当前登录用户；未登录为 `null`（无需令牌） |
 | GET | `/api/state` | 完整状态快照 |
 | GET | `/api/catalog` | 作物 / 牲畜 / 商品与实时价格 / 建筑 / 天气表 / 仓容 |
 | GET | `/api/actions` | 当前合法动作（AI 推荐入口） |
@@ -325,6 +330,10 @@ SSE 长连接在两种协议下都照常工作。
 ## 7. 多人模型
 
 * **一个牧场 = 一个玩家**：独立引擎、独立时钟，存档在 `saves/farm.db`（SQLite，**一个牧场一行**）。
+* **用户名登录**：网页首屏先登录（输入用户名即可，第一次用会自动开同名新牧场）。
+  Cookie 是 HMAC 签名的 HttpOnly，30 天有效，密钥在 `saves/secret.key`——重启不掉线。
+  登录后改 URL 也进不了别人的牧场；`curl`/脚本不带 Cookie 时保持 `?farm=` 旧语义
+  （互信小圈子模型：用户名即身份，不设密码，防的是"随手改 URL"而不是蓄意攻击）。
 * 牧场之间完全隔离（金币、土地、市场各自独立），但共享排行榜（`GET /api/farms`）。
 * 同牧场可以有多人/多程序同时操作，引擎内的 `RLock` 保证串行，不会出现"两个人同时种同一块地"这类竞态。
 * 所有牧场的时钟由**一个** `FarmClock` 线程统一驱动（而不是每个牧场一条线程）。