- 根因: custom-back 使用 MD5（无盐）存储密码，数据库 sys_user.password 均为 MD5 哈希值
- BCryptPasswordEncoder.matches() 期望 $2a$ 格式，遇见 MD5 字符串直接返回 false
- 新建 Md5PasswordEncoder（内部类），与 custom-back Md5Utils.hash() 算法完全一致:
  MessageDigest MD5 → 单次无盐 → 32 位小写十六进制字符串

Co-Authored-By: Claude <noreply@anthropic.com>