feat(enterprise): add first-login rotation and receipt bridge

deployment/enterprise-domain-bootstrap/enterprise-lighthouse/README.md

@@ -20,6 +20,13 @@ API 路由对客户端开放：
 - 关系确认：由人类确认自己与人格体的认领关系；
 - 责任回执：独立记录对域责任的接受、拒绝、延期或修改后接受；
 - 仓库验证：登录凭证只透传给同机 Forgejo 验证，不写入数据库或日志。
+- 首次换密：使用用户自己的一次性凭证进入 Forgejo 强制换密会话，不持有长期管理员令牌；
+  换密回执只记录账号、时间和成功状态，不记录旧密码或新密码。
+
+客户端在企业域内提供四个原生命令：第一次登录换密、读取本人企业入口、确认人格体关系、
+提交责任接受回执。关系确认和责任接受仍是两次独立的人类动作；UI 不得把它们折叠成
+一个默认勾选框。当前 macOS 通过系统钥匙串读取已登录账号凭证；Windows 安全凭证桥
+尚未完成，因此 Windows 端不能宣称已具备持久化责任签署能力。
 
 `AGE` 只表示人格体物种，不能作为任何人格体的个体身份编号。现有 `PER-*` 作为历史
 和当前可核验的个体身份引用保留；企业四域正式人格体身份编号前缀由光湖团队另行治理，