feat(v1.4): 初始管理员（id=1）可修改其他管理员的用户名、昵称和密码

- 设置 → 管理员：仅 id=1 的账户在“其他人”那一行看到「编辑」入口，自己那行不显示
- 新增编辑页 /settings/users/{id}/edit：可改用户名、显示名称，密码留空则不修改
- 重置密码后立即清除该账户的所有登录会话，强制对方用新密码重新登录；只改昵称/用户名不影响会话
- 服务端三重校验：非 id=1 拒绝、不能编辑自己、用户名 3-32 字符且唯一、密码 ≥6 位且两次一致
- 所有修改写入操作日志（旧用户名/昵称 → 新值，是否重置密码）
- 设置页根据当前账户显示不同提示：超管看到可编辑说明，其他人只看到“只有初始管理员可以修改”

数据库：无需变更（复用 users 表与 sessions 表）
测试：
- 新增单测 TestUpdateUserByAdmin：昵称更新、会话保留、改密后旧会话失效、新密码可登录旧密码失效、重名返回 ErrDuplicate、空用户名拒绝
- 功能验证 20 项：入口显示/隐藏、普通管理员与自我编辑被拒、改密踢下线、新旧密码、长度/一致性/重名校验、留空密码、日志记录
- 原有 119 项验收回归全绿；go vet / go test ./... 通过；版本号 1.4.0

README.md

@@ -274,6 +274,12 @@ daili.ini                   首次运行自动生成
 
 ## 9. 安全说明
 
+- **初始管理员**（第一个创建的账号，`id=1`）在 `设置 → 管理员` 每行可以点「编辑」，修改其他管理员的用户名、昵称，或重置密码；
+- 重置密码会立刻清除对方的登录会话，他需要用新密码重新登录；昵称/用户名的修改不影响会话；
+- 自己那一行不显示编辑（改自己的密码用「修改我的密码」），避免误操作把自己锁在门外；
+- 其余管理员权限相同，但只能改自己的密码。
+
+
 - 口令使用 PBKDF2-HMAC-SHA256（12 万次迭代 + 随机盐）存储，不可逆；
 - 所有写操作记录操作人、时间、IP 与摘要，可在「操作日志」里查询；
 - 服务端模板全部走 `html/template` 自动转义；